Katalog podatności CVE

vm2 to otwarte źródło vm/sandbox dla Node.js. Przed wersją 3.11.4, vm2 ma podatność na wyjście z piaskownicy, co pozwala atakującym na wykonanie dowolnych poleceń na systemie gospodarza.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.11.4, NodeVM blokuje kilka niebezpiecznych wbudowanych funkcji Node.js, jednak lista zablokowanych elementów nie obejmowała process oraz inspector/promises, co pozwala na obejście tych ograniczeń.

W wersjach przed 3.11.4 biblioteka vm2 zawierała lukę, która pozwalała na obejście zabezpieczeń związanych z opcjami 'nesting: true' i 'require: false'. Sprawdzenie równości ścisłej w kodzie nie działało poprawnie, co umożliwiało wykorzystanie nieautoryzowanych wymagań.

vm2 to otwarte źródło vm/sandbox dla Node.js. Przed wersją 3.11.4, poprzez kombinację określonych wywołań, możliwe było uzyskanie konstruktora TypeError hosta, co pozwalało na ucieczkę z sandboxa i uruchamianie dowolnego kodu.

Aplikacje Yarbo na Androida i iOS zawierają wbudowane, twardo zakodowane dane uwierzytelniające do brokera MQTT, które są identyczne dla wszystkich użytkowników i urządzeń. Te dane są osadzone w binarnej wersji aplikacji i mogą być łatwo wydobyte poprzez dekompilację APK.

iRM-IEI Remote Management opracowany przez IEI Integration Corp zawiera podatność na twardo zakodowane dane uwierzytelniające, co pozwala nieautoryzowanym atakującym zdalnie wykorzystać te dane do uzyskania uprawnień administratora w bazie danych.

Błąd logiczny w OAuthRequestFilter odrzuca prawidłowe żądania pochodzące z powiązanego adresu IP, jednocześnie bezwarunkowo przepuszczając żądania z dowolnego innego adresu IP. Włączenie tej funkcji bezpieczeństwa przypadkowo tworzy odwróconą kontrolę bezpieczeństwa.

Klasa JwtAccessTokenValidator w Apache CXF nie weryfikuje roszczeń 'aud' (Audience) w przychodzących tokenach JWT. Umożliwia to ponowne użycie tokenu JWT wydanego dla jednego serwera zasobów przeciwko innemu serwerowi, prowadząc do ataków typu Token Confusion/Routing.

Klasy EndpointReferenceUtils i W3CMultiSchemaFactory w Apache CXF tworzą SAXParserFactory bez niezbędnych zabezpieczeń JAXP, co umożliwia rozwiązywanie zewnętrznych encji poza pasmem (OOB).

W aplikacji PcSuite występuje podatność na nieautoryzowany dostęp. Atakujący mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do urządzenia ofiary.

Nieprawidłowe kontrole uwierzytelniania w implementacji OAuth umożliwiają przejęcie konta, nawet gdy OAuth nie jest skonfigurowany lub włączony, co prowadzi do nieautoryzowanego dostępu w domyślnych instalacjach.

W urządzeniach działających na UniFi OS występuje podatność na niewłaściwą walidację danych wejściowych, która może być wykorzystana przez złośliwego aktora z niskimi uprawnieniami do wykonania ataku typu Command Injection.

W urządzeniach działających na UniFi OS występuje podatność związana z niewłaściwą walidacją danych wejściowych, która może być wykorzystana przez złośliwego aktora z niskimi uprawnieniami do eskalacji uprawnień.

W UID Enterprise Agent zidentyfikowano podatność na niewłaściwą walidację danych wejściowych, która może być wykorzystana przez złośliwego aktora z dostępem do sieci i niskimi uprawnieniami do wykonania ataku typu Command Injection na urządzeniu gospodarza.

W podatności CVE-2026-47365 w WordPress Toolkit przed wersją 6.11.0, używanym w cPanel i WHM, występuje luka związana z wstrzykiwaniem argumentów. Umożliwia to zdalnym, uwierzytelnionym użytkownikom ominięcie autoryzacji między najemcami i wykonywanie dowolnych poleceń CLI wp-toolkit jako inny użytkownik.

ClipBucket v5 to otwarta platforma do udostępniania wideo, która przed wersją 5.5.3 - #129 była podatna na ślepą injekcję SQL w punkcie końcowym actions/progress_video.php. Nieautoryzowani użytkownicy mogli wykorzystać parametr ids do wykonywania zapytań SQL i wykradania wrażliwych danych.

ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.

W aplikacji mobilnej Hippoo dla WooCommerce występuje podatność związana z nieprawidłowym przypisaniem uprawnień, co umożliwia eskalację uprawnień.

W podatności CVE-2026-42647 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Beardev JoomSport.

Podatność typu SQL Injection w wtyczce Product Filter od WBW umożliwia przeprowadzenie ataku Blind SQL Injection. Problem dotyczy wersji od n/a do 3.1.2.