Katalog podatności CVE

W WildFly wykryto lukę, która pozwala zdalnemu atakującemu ominąć uwierzytelnianie przy wywołaniach IIOP EJB. Interceptor bezpieczeństwa CSIv2 akceptuje asercje tożsamości ITTPrincipalName w kontekście usługi bez weryfikacji uwierzytelniania na poziomie transportu, co umożliwia atakującemu bez uwierzytelnienia na porcie 3528 podszycie się pod dowolnego principal na każdym zdalnym EJB wystawionym przez IIOP.

Wtyczki WordPress Two Factor Authentication przed wersją 1.17.0 oraz All-In-One Security (AIOS) przed wersją 5.5.0 nie wiążą konta, którego kod dwuskładnikowy jest weryfikowany, z kontem, które jest uwierzytelniane. Umożliwia to atakującemu znającemu hasło ofiary i posiadającemu własne konto z włączonym 2FA spełnienie drugiego składnika weryfikacji ofiary własnym kodem i uzyskanie sesji ofiary.

Wtyczka DSGVO All in one for WP dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w wyniku korupcji wyrażeń regularnych bufora wyjściowego we wszystkich wersjach do 5.0 włącznie. Luka wynika z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty do stron.

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa jest podatna na przechowywany XSS poprzez ciasteczko 'service_type' we wszystkich wersjach do 1.5.5 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Atakujący bez uwierzytelnienia może wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka Schema App Structured Data dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w filtrze wyjściowym 'Remove Microdata' we wszystkich wersjach do 2.3.2 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka SSL Wireless SMS Notification dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 3.8.1 włącznie. Handler final_login_ajax_action uwierzytelnia użytkownika, dopasowując tabelę wp_sslcare_otp wyłącznie po numerze telefonu i cap_data dostarczonych przez atakującego, bez weryfikacji OTP SMS ani stanu jednorazowego po stronie serwera.

Wtyczka Social Web Suite – Social Media Auto Post, Social Media Auto Publish dla WordPressa jest podatna na SQL Injection poprzez parametr 'exclude_posts' we wszystkich wersjach do 4.1.12 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka SendPress Newsletters dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'subscriberid' we wszystkich wersjach do 1.26.1.20 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka Wild Apricot Login dla WordPressa w wersjach do 1.0.18 włącznie jest podatna na obejście uwierzytelniania poprzez powiązanie konta na podstawie kolizji adresu e-mail w SSO. Gdy nie znaleziono mapowania kontaktu WildApricot, wtyczka używa globalnego wyszukiwania użytkownika po e-mailu i bez weryfikacji własności konta (hasła, potwierdzenia e-mail, zgody administratora) wydaje sesyjne ciasteczko uwierzytelniające dla znalezionego użytkownika. Atakujący z dostępem do kontaktu WildApricot o adresie e-mail administratora podstrony może przejąć jego tożsamość w całej sieci Multisite.

W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.

Wtyczka Ortto dla WordPressa przed wersją 1.0.25 nie uwierzytelniała żądań aktualizacji konfiguracji, opierając się wyłącznie na sekrecie ujawnionym w publicznym HTML. Nieuwierzytelniony atakujący mógł nadpisać konfigurację wtyczki, aby serwować dowolne skrypty.

W Bixby przed wersją 4.0.85.6 występuje niewłaściwa walidacja danych wejściowych, która pozwala uprzywilejowanym lokalnym atakującym na uruchamianie dowolnych aktywności.

W MailWatch for MailScanner przed wersją 1.2.27 każdy uwierzytelniony użytkownik, w tym role U, D i H, może zwolnić do skrzynki odbiorczej lub trwale usunąć kwarantannowaną pocztę innego użytkownika lub domeny, podając dowolny identyfikator wiadomości do mailscanner/quarantine_action.php. Akcja nie sprawdza właściciela wiadomości ani nie stosuje filtra global_filter, a identyfikatory wiadomości są wyliczalne.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 i 11.7.x <= 11.7.10 nie weryfikuje docelowego identyfikatora posta w komponencie przypomnień o wzmiankach wtyczki Agents. Uwierzytelniony użytkownik mogący publikować w kanale widocznym dla administratora systemu może spowodować, że przeglądarka administratora wyśle niezamierzone żądanie API, co prowadzi do zamiany zainstalowanej wtyczki i wykonania kodu na serwerze. Wymaga to kliknięcia przez administratora spreparowanego przypomnienia o wzmiance.

Podatność SSRF w AVideo (przed wersją 8.1.0) pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług HTTP/HTTPS oraz FTP. Funkcja `url_get_contents` nie blokuje adresów prywatnych, loopback ani link-local i wyłącza weryfikację certyfikatów TLS, a endpoint `objects/login.json.php` zwraca pobraną zawartość. Dodatkowo `view/youtubeDl.json.php` umożliwia żądania do wewnętrznych serwerów FTP.

W AVideo przed wersją 8.1.0 koder nie ma globalnej warstwy uwierzytelniania i udostępnia anonimowym wywołaniom sieciowym endpointy PHP sterowania i statusu. Endpointy `view/run.php`, `view/queue.json.php`, `view/status.php` i `view/listFiles.json.php` pozwalają nieuwierzytelnionemu atakującemu sterować procesorem kolejki, odczytywać informacje o kolejce i streamerach, uzyskiwać statystyki pamięci oraz wyliczać nazwy i ścieżki plików multimedialnych w dowolnym katalogu czytelnym dla użytkownika serwera WWW. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 nieuwierzytelnione logowanie streamera w `objects/login.json.php` przekazuje parametr `user` do `Streamer::get`, gdzie jest wstawiany do zapytania SELECT MariaDB w pojedynczych cudzysłowach bez parametryzacji lub escapowania. Mimo że `objects/security.php` usuwa literalne pojedyncze cudzysłowy, `html_entity_decode` w `objects/Login.php` przywraca zakodowane encjami cudzysłowy przed zapytaniem. Wyniki UNION są ujawniane przez `streamers_id`, a błędy zwracają zapytanie i komunikat błędu MariaDB. Luka jest naprawiona w wersji 8.1.0.

Dodatek AnkiMCP do wersji 0.21.0 wyłącza ochronę przed DNS-rebinding w FastMCP, także dla domyślnego lokalnego nasłuchu HTTP na 127.0.0.1:3141, bez uwierzytelniania i bez list dozwolonych Host/Origin. Złośliwa strona internetowa odwiedzona przez ofiarę może wykonać żądania do pętli zwrotnej i uzyskać dostęp do MCP, wyliczyć narzędzia oraz odczytać lokalną kolekcję i wykonywać niedestrukcyjne operacje na notatkach i taliach.

OpenCATS przed wersją 0.10.0 zawiera lukę SQL injection w filtrowaniu dat DataGrid aktywności w `home:CallsDataGrid` i `activity:ActivityDataGrid`, gdzie parametry `period`, `startDate` i `endDate` są używane bez wystarczającej walidacji lub escapowania. Uwierzytelniony użytkownik z dostępem do dotkniętych endpointów DataGrid może zmienić zamierzone zapytanie, aby uzyskać dostęp do poufnych danych bazy, w tym kont użytkowników, rekordów kandydatów, danych kontaktowych, informacji o firmach, zleceń pracy i historii aktywności. Wymagane jest ważne logowanie do OpenCATS. Luka jest naprawiona w wersji 0.10.0.

W OpenCATS przed wersją 0.10.0 funkcja konfiguracji licencji profesjonalnej w SettingsUI przyjmuje klucz licencji kontrolowany przez administratora, który jest wstawiany do instrukcji PHP define() w config.php bez bezpiecznego escapowania. Poprzez spreparowane dane wejściowe można zmienić składnię PHP pliku i uzyskać trwałe wykonanie dowolnego kodu PHP z uprawnieniami procesu serwera WWW.