Katalog podatności CVE

Podatność w module rejestracji gości Drupal Commerce. Problem dotyczy wszystkich wersji rejestracji gości Commerce.

OpenPLC Runtime v3 zawiera uwierzytelnioną podatność na zapis dowolnych plików w starszym interfejsie webowym podczas przesyłania programu. Atakujący może dostarczyć dowolną nazwę pliku, która jest zapisywana w bazie danych i używana jako ścieżka docelowa bez walidacji, co pozwala na zapis plików w dowolnym miejscu zapisywalnym przez proces serwera WWW.

W Drupal Mother May I wykryto podatność, która może umożliwiać nieautoryzowany dostęp lub inne zagrożenia. Problem dotyczy wszystkich wersji modułu Mother May I.

Tilt HUD HTTP serwer w wersjach od 0.20.8 do 0.37.3 rejestruje procedury obsługi na routerze gorilla/mux bez uwierzytelniania. Gdy HUD jest powiązany z adresem innym niż loopback, nieuwierzytelniony atakujący sieciowo może wywoływać zasoby zdefiniowane przez programistę, manipulować argumentami Tiltfile, odczytywać pełny stan silnika (w tym token sesji) oraz wywoływać zasoby apiserver przez handler /proxy dołączający token.

Podatność w module Drupal Formatter Field umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektu, co prowadzi do wstrzyknięcia obiektu. Problem dotyczy wersji od 0.0.0 do 2.0.0.

W Drupal LocalGov Workflows wykryto brak autoryzacji, umożliwiający atakującemu wymuszone przeglądanie (forceful browsing). Podatność dotyczy wersji od 0.0.0 do 1.6.0.

W module Drupal AlternativeCommerce (Basket) wykryto podatność polegającą na niekontrolowanej modyfikacji dynamicznie określanych atrybutów obiektów, co umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od 0.0.0 do 2.1.17.

Wtyczka OAuth Single Sign On - SSO (OAuth Client) dla WordPressa zawiera podatność na ominięcie uwierzytelniania poprzez alternatywną ścieżkę lub kanał, co umożliwia wykorzystanie mechanizmu odzyskiwania hasła. Problem dotyczy wersji do 38.5.8 włącznie.

OpenReplay w wersjach od 1.24.0 do 1.25.0 zawiera podatność na atak XSS, która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta dashboardu. Atakujący może wysłać złośliwy skrypt poprzez niestandardowe nazwy zdarzeń lub adresy URL stron, które są przechowywane w ClickHouse bez kodowania wyjściowego, a następnie renderowane w dashboardzie, co umożliwia kradzież tokena JWT z localStorage.

Wtyczka miniOrange Social Login and Register dla WordPressa do wersji 7.7.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania i przejęcie konta. Atakujący może wysłać dowolny adres e-mail (np. administratora) do procesu uzupełniania profilu, a następnie wykorzystać słabą przestrzeń OTP (99 000 wartości) i wyciekający hash transakcji, aby odszyfrować kod OTP w czasie poniżej sekundy i zalogować się jako wybrany użytkownik.

FreeRDP w wersjach od 3.21.0 do 3.27.9 zawiera niekompletną poprawkę dla CVE-2026-23530 w funkcji planar_decompress_plane_rle_only w pliku planar.c. Złośliwy serwer RDP może wysłać specjalnie spreparowany ładunek planar RDPGFX_CMDID_WIRETOSURFACE_1, który powoduje odczyt jednego bajtu poza buforem wejściowym.

W 32-bitowych wersjach FreeRDP przed 3.28.0 występuje przepełnienie liczby całkowitej w funkcji update_read_delta_points w pliku libfreerdp/core/orders.c. Atakujący serwer RDP może wykorzystać tę podatność do przydzielenia zbyt małego bufora sterty i zapisu poza jego granice.

Serwer MCP Kubernetes przed wersją 3.9.0 zawiera podatność na wstrzykiwanie argumentów w narzędziach strukturalnych (kubectl_get, kubectl_describe, kubectl_delete), która pozwala atakującym ominąć sprawdzenie bezpieczeństwa assertNoDangerousFlags poprzez podanie parametrów resourceType i name z wiodącymi myślnikami. Atakujący mogą wstrzyknąć flagę --server, aby przekierować polecenia kubectl na kontrolowany przez atakującego serwer API, co powoduje wysłanie zewnętrznie tokena bearer operatora i umożliwia pełne przejęcie klastra.

W systemie SEM-PMP firmy Semtek Informatics Software Consulting Trade Ltd. Co. wykryto podatność na wstrzykiwanie SQL, która umożliwia wykonanie poleceń w wierszu poleceń poprzez manipulację zapytaniami SQL. Problem dotyczy wersji do 23042026 włącznie.

Podatność w Prowler przed wersją 5.30.3 pozwala atakującemu na przejęcie konta w innym tenantcie poprzez manipulację adresem email w odpowiedzi SAML. System ufał domenie email z SAMLResponse przy wyborze tenanta, zamiast wiązać token z zatwierdzoną konfiguracją SAML.

W aplikacji MobilMen 20T firmy Adam Retail Automation Ltd. wykryto podatność na wstrzykiwanie SQL (CWE-89). Luka umożliwia atakującemu manipulację zapytaniami do bazy danych poprzez nieprawidłową neutralizację specjalnych znaków w poleceniach SQL.

Wtyczka bazy danych dla Grav CMS przed wersją 1.2.0 zawiera podatność na wstrzykiwanie SQL w metodzie PDO::tableExists. Nazwa tabeli przekazywana przez kod wtyczki lub programisty jest bezpośrednio interpolowana do surowego zapytania SQL bez sanityzacji, co umożliwia wykonanie dowolnego kodu SQL.

W systemie Invixium IXM WEB w wersji 2.3.85.25 wykryto podatność umożliwiającą eskalację uprawnień poprzez komponent /SystemUsers/CreateAppUser. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.

W 9Router przed wersją 0.4.80 endpoint /api/settings/database umożliwia pełny eksport bazy danych (zawierającej wszystkie poświadczenia, klucze API, tokeny OAuth i ustawienia) oraz pełny import bazy danych (całkowite nadpisanie) bez żadnego uwierzytelnienia poza sprawdzeniem ALWAYS_PROTECTED, które weryfikuje tylko JWT lub token CLI. Luka została naprawiona w wersji 0.4.80.

W wykrywaczu typu pliku (file_type) w bibliotece guardrails-detectors znaleziono podatność, która pozwala zdalnemu atakującemu na dostarczenie dowolnego ciągu XSD. Ciąg ten jest przetwarzany bez odpowiednich ograniczeń, co może prowadzić do żądań po stronie serwera do dowolnych URL-i lub odczytu lokalnych plików.