Katalog podatności CVE

W produkcie 777genius agent-teams-ai do wersji 2.17.10 wykryto podatność w funkcji doStart pliku src/main/services/infrastructure/HttpServer.ts komponentu Local HTTP Service. Manipulacja prowadzi do braku uwierzytelniania. Atak jest możliwy wyłącznie z dostępu lokalnego, a exploit został publicznie ujawniony.

W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto podatność w nieznanym kodzie komponentu Virtual Server Page. Manipulacja prowadzi do cross site scripting. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.

Aplikacja benotes (do wersji 2.8.1) zawiera podatność Server-Side Request Forgery w funkcji getUrlInfo w pliku app/Http/Controllers/PostController.php, w komponencie Bookmark Metadata Endpoint. Manipulacja argumentem url pozwala na wykonanie żądań po stronie serwera.

Aplikacja EasyImage (do wersji 2.8.7) zawiera podatność w nieznanej funkcji pliku app/del.php, polegającą na niewłaściwym zarządzaniu uprawnieniami. Manipulacja argumentem hash może prowadzić do eskalacji uprawnień.

W bibliotece GNOME libgsf do wersji 1.14.60 wykryto podatność w funkcji ole_info_read_metabat w pliku gsf/gsf-infile-msole.c, w komponencie parsera OLE2. Manipulacja danymi prowadzi do przepełnienia bufora na stercie. Atak można zainicjować zdalnie.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie ogranicza waluty darowizny do tej akceptowanej przez witrynę lub formularz, a limity kwot porównuje jako zwykłe liczby. Umożliwia to nieuwierzytelnionym użytkownikom dokonywanie darowizn poniżej skonfigurowanego minimum lub stałej kwoty formularza.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na odczycie poza granicami bufora w funkcji VS6ComFile!CCheck::ItemCheck. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na odczycie poza granicami bufora w funkcji VS6EditData!CDataRomErrorCheck::CheckSymbolMacroParam. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na odczycie poza granicami bufora w funkcji VS6EditData!CDataRomErrorCheck::MacroCommandCheck. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na odczycie poza granicami bufora w funkcji VS6MemInIF!set_temp_type_default. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na odczycie poza granicami bufora w funkcji VS6ComFile!load_gr_item. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na zapisie poza granicami bufora. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Oprogramowanie V-SFT firmy FUJI ELECTRIC zawiera podatność polegającą na przepełnieniu bufora na stosie. Otwarcie spreparowanego pliku V7 może prowadzić do ujawnienia informacji lub wykonania dowolnego kodu.

Wtyczka WordPress Mintpay for WooCommerce do wersji 2.2.3 nie weryfikuje autentyczności przetwarzanego wywołania zwrotnego płatności. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłacone, anulowanie dowolnych zamówień oraz ujawnienie szczegółów zamówień, w tym danych kontaktowych klientów.

Wtyczka WordPress OPay Payment Gateway for WooCommerce do wersji 2.5.5 nie weryfikuje poprawnie, czy powiadomienia o płatności pochodzą od dostawcy płatności, ponieważ sekret używany do walidacji podpisu jest domyślnie pusty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie ważnego powiadomienia i oznaczenie dowolnych zamówień jako opłacone, anulowane lub nieudane.

Wtyczka WordPress Online Payments with iK Pay Gateway przed wersją 3.0.4 nie weryfikuje poprawnie autentyczności wywołania zwrotnego bramki płatności w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie pomyślnego powiadomienia o płatności i oznaczenie dowolnych zamówień jako opłacone bez dokonania płatności oraz oznaczenie dowolnych nieprzetworzonych zamówień jako nieudane.

Wtyczka WordPress Eurobank WooCommerce Payment Gateway do wersji 2.1.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a domyślnie wysyłana jest z pustym sekretem uwierzytelniającym. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnego oczekującego zamówienia jako opłacone oraz wymuszenie statusu niepowodzenia bez znajomości sekretu.

Wtyczka WordPress Payment Gateway do wersji 2.2.0 nie zapewnia skonfigurowania wspólnego sekretu przed użyciem go do uwierzytelnienia wywołania zwrotnego powiadomienia o płatności banku. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie ważnego powiadomienia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone w instalacjach bez ustawionego sekretu, a to samo wywołanie zwrotne pozwala przenieść dowolne oczekujące zamówienie do stanu nieudanego niezależnie od konfiguracji sekretu.

Wtyczka WordPress CCAvenue Payment Gateway for WooCommerce do wersji 3.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a klucz weryfikacyjny wyprowadza z wartości pustej w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone bez dokonania płatności.

W NocoDB do wersji 2026.07.0 funkcja validatePassword w pliku /auth/user/signup nie ogranicza w wystarczający sposób nadmiernej liczby prób uwierzytelnienia. Luka umożliwia zdalny atak o wysokiej złożoności, a producent opisuje to zachowanie jako zamierzone. Zgłoszenie GitHub zostało usunięte bez wyjaśnienia, a kontakt e-mailowy pozostał bez odpowiedzi.