Katalog podatności CVE

Wtyczka WordPress Qi Addons For Elementor przed wersją 1.11.2 nieprawidłowo sanityzuje tekst nagłówka widżetu po dekodowaniu encji HTML. Umożliwia to użytkownikom z rolą Contributor i wyższą osadzanie aktywnych formularzy HTML, w tym pól haseł przesyłanych do zewnętrznego hosta, w postach, w których WordPress normalnie by je usunął.

Wtyczka WordPress InstaWP Connect przed wersją 0.1.4.2 nie sprawdza uprawnień w akcji aktualizacji ustawień, weryfikując jedynie nonce. Umożliwia to uwierzytelnionemu użytkownikowi o niskich uprawnieniach, któremu administrator przyznał dostęp do funkcji synchronizacji, nadpisanie ustawień wtyczki, w tym ustawienia kontrolującego role mające dostęp do tej funkcji. Przyznanie roli nie jest domyślnie włączone.

Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli własności na poziomie obiektu podczas aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym modyfikowanie, rekonfigurację i publikowanie wycieczek utworzonych przez innych użytkowników.

Wtyczka WordPress WPVR przed wersją 9.0.3 nie wykonuje kontroli autoryzacji na poziomie obiektu podczas odczytu i aktualizacji wirtualnych wycieczek. Umożliwia to użytkownikom z dostępem na poziomie Contributor i wyższym odczyt i modyfikację wycieczek utworzonych przez innych użytkowników.

Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.

Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.

Wtyczka WordPress WP Stripe Checkout w wersji przed 1.2.2.62 nie weryfikuje podpisu webhooka Stripe, gdy nie skonfigurowano sekretu podpisywania, co jest stanem domyślnym. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia o zakończeniu płatności i utworzenie zrealizowanego zamówienia bez dokonania płatności.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.

W projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09 wykryto błąd w funkcji SmsCodeServiceImpl.validateSmsCode0 w pliku /service/sms/SmsCodeServiceImpl.java, dotyczącej weryfikacji kodu SMS. Manipulacja powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a eksploatacja uznawana za trudną; exploit został opublikowany.

Wykryto podatność w projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09. Nieznana funkcja w pliku AuthController.java, obsługująca weryfikację kodu SMS, niewłaściwie przetwarza argumenty mobile/code, co prowadzi do nieprawidłowego uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność bezpieczeństwa w onyx-dot-app Onyx do wersji 5.0.0. Dotyczy ona nieznanej funkcji w pliku web/src/app/craft/components/output-panel/PreviewTab.tsx i prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

Wykryto lukę bezpieczeństwa w Zylon PrivateGPT w wersjach 1.0.0 i 1.0.1. Podatność dotyczy funkcji load_file_from_uri w pliku private_gpt/server/ingest/uri_loader.py (komponent URI Artifact Loader) i polega na manipulacji argumentem Value, co prowadzi do podatności SSRF (server-side request forgery). Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

Wykryto podatność typu SQL injection w projekcie Restaurant_IMS (repozytorium mansi-k) w funkcji mysqli_connect w pliku lsmodal.php. Manipulacja argumentami login_id/epsw pozwala na wstrzyknięcie złośliwego kodu SQL. Podatność można wykorzystać zdalnie, a projekt nie dostarcza informacji o wersjach ze względu na model ciągłego wydawania.

W bibliotece pig-mesh pig do wersji 4.1.0 wykryto podatność typu SQL injection w funkcji orderItem.getColumn w pliku SqlFilterArgumentResolver.java. Manipulacja argumentami ascs/descs pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację CVE Numbering Authority. Brak dostępnych informacji o podatności.

Wykryto podatność w Unitree Robotics Unitree Go2 w wersjach do 1.1.13/1.1.14.1/1.1.15.1. Funkcja WebSocketClient.connect w pliku websocket.py komponentu chat_go nieprawidłowo waliduje certyfikaty, co umożliwia atak zdalny o wysokiej złożoności. Producent potwierdził problem (CWE-295).