Katalog podatności CVE

Wtyczka User Registration & Membership dla WordPress przed wersją 5.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook od dostawcy płatności przed ich przetworzeniem. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie zdarzenia zatwierdzenia płatności i aktywację płatnej subskrypcji członkowskiej bez dokonania rzeczywistej płatności.

W urządzeniu Comfast CF-WR631AX V3 do wersji 2.7.0.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji system_wl_upload_pic_file w pliku /usr/bin/webmgnt w komponencie FastCGI Backend, gdzie argument filename jest nieprawidłowo obsługiwany. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Flowise przed wersją 3.1.0 (wersje 3.0.13 i wcześniejsze) używa słabych, zakodowanych na stałe domyślnych sekretów JWT ('auth_token', 'refresh_token') oraz domyślnych wartości odbiorcy i wystawcy ('AUDIENCE', 'ISSUER') w oprogramowaniu pośredniczącym uwierzytelniania passport. Gdy zmienne środowiskowe nie są ustawione, aplikacja po cichu używa tych publicznie znanych domyślnych wartości, co pozwala atakującemu na fałszowanie ważnych tokenów JWT i podszywanie się pod dowolnego użytkownika, w tym administratorów.

Crawl4AI przed wersją 0.8.7 zawiera podatność umożliwiającą dowolny zapis plików w endpointach /screenshot i /pdf serwera API Docker. Parametr output_path akceptuje dowolne ścieżki systemowe bez walidacji, co pozwala atakującemu na nadpisanie plików serwera i spowodowanie odmowy usługi.

PraisonAI przed wersją 1.6.78 zawiera podatność zdalnego wykonania kodu w funkcji CodeAgent._execute_python(), która wykonuje kod Python generowany przez model LLM bez walidacji AST, ograniczeń importów ani izolacji piaskownicy. Atakujący mogą wpływać na wynik LLM poprzez wstrzykiwanie promptów, aby wykraść wszystkie sekrety środowiskowe i wykonać dowolny kod na systemie hosta.

PraisonAI przed wersją 4.6.78 zawiera podatności umożliwiające dowolny zapis plików i wykonanie poleceń w komponencie AICoder. Brak walidacji ścieżek i sanityzacji poleceń w wywołaniach narzędzi LLM pozwala atakującym na wstrzykiwanie złośliwych promptów przez interfejs czatu.

Podatność w PraisonAI przed wersją 4.6.78 pozwala na wstrzyknięcie SQL/CQL poprzez nieprawidłową walidację argumentu wymiaru w backendach PGVector i Cassandra. Atakujący może przekazać złośliwy ciąg znaków, który zostanie bezpośrednio wstawiony do zapytania CREATE TABLE, co może prowadzić do wykonania nieautoryzowanych operacji na bazie danych.

Podatność w rozszerzeniu Joomla RSFiles (wersje < 1.17.12) umożliwiająca nieuwierzytelnionemu atakującemu przesyłanie dowolnych plików, w tym wykonywalnych, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Podatność w punkcie końcowym WebSocket stacji ładowania umożliwia nawiązywanie połączeń bez wymaganej autoryzacji, co może prowadzić do eskalacji uprawnień.

Podatność w module rejestracji gości Drupal Commerce. Problem dotyczy wszystkich wersji rejestracji gości Commerce.

OpenPLC Runtime v3 zawiera uwierzytelnioną podatność na zapis dowolnych plików w starszym interfejsie webowym podczas przesyłania programu. Atakujący może dostarczyć dowolną nazwę pliku, która jest zapisywana w bazie danych i używana jako ścieżka docelowa bez walidacji, co pozwala na zapis plików w dowolnym miejscu zapisywalnym przez proces serwera WWW.

W Drupal Mother May I wykryto podatność, która może umożliwiać nieautoryzowany dostęp lub inne zagrożenia. Problem dotyczy wszystkich wersji modułu Mother May I.

Tilt HUD HTTP serwer w wersjach od 0.20.8 do 0.37.3 rejestruje procedury obsługi na routerze gorilla/mux bez uwierzytelniania. Gdy HUD jest powiązany z adresem innym niż loopback, nieuwierzytelniony atakujący sieciowo może wywoływać zasoby zdefiniowane przez programistę, manipulować argumentami Tiltfile, odczytywać pełny stan silnika (w tym token sesji) oraz wywoływać zasoby apiserver przez handler /proxy dołączający token.

Podatność w module Drupal Formatter Field umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektu, co prowadzi do wstrzyknięcia obiektu. Problem dotyczy wersji od 0.0.0 do 2.0.0.

W Drupal LocalGov Workflows wykryto brak autoryzacji, umożliwiający atakującemu wymuszone przeglądanie (forceful browsing). Podatność dotyczy wersji od 0.0.0 do 1.6.0.

W module Drupal AlternativeCommerce (Basket) wykryto podatność polegającą na niekontrolowanej modyfikacji dynamicznie określanych atrybutów obiektów, co umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od 0.0.0 do 2.1.17.

Wtyczka OAuth Single Sign On - SSO (OAuth Client) dla WordPressa zawiera podatność na ominięcie uwierzytelniania poprzez alternatywną ścieżkę lub kanał, co umożliwia wykorzystanie mechanizmu odzyskiwania hasła. Problem dotyczy wersji do 38.5.8 włącznie.

OpenReplay w wersjach od 1.24.0 do 1.25.0 zawiera podatność na atak XSS, która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta dashboardu. Atakujący może wysłać złośliwy skrypt poprzez niestandardowe nazwy zdarzeń lub adresy URL stron, które są przechowywane w ClickHouse bez kodowania wyjściowego, a następnie renderowane w dashboardzie, co umożliwia kradzież tokena JWT z localStorage.

Wtyczka miniOrange Social Login and Register dla WordPressa do wersji 7.7.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania i przejęcie konta. Atakujący może wysłać dowolny adres e-mail (np. administratora) do procesu uzupełniania profilu, a następnie wykorzystać słabą przestrzeń OTP (99 000 wartości) i wyciekający hash transakcji, aby odszyfrować kod OTP w czasie poniżej sekundy i zalogować się jako wybrany użytkownik.

FreeRDP w wersjach od 3.21.0 do 3.27.9 zawiera niekompletną poprawkę dla CVE-2026-23530 w funkcji planar_decompress_plane_rle_only w pliku planar.c. Złośliwy serwer RDP może wysłać specjalnie spreparowany ładunek planar RDPGFX_CMDID_WIRETOSURFACE_1, który powoduje odczyt jednego bajtu poza buforem wejściowym.