Katalog podatności CVE

ONEARMY community-platform przed wersją 2.165.2 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom oznaczać powiadomienia innych użytkowników jako przeczytane poprzez POST /api/notifications/:id/read. Atakujący mogą iterować sekwencyjne identyfikatory powiadomień, aby wyłączyć wskaźniki nieprzeczytanych użytkowników w tej samej dzierżawie, powodując pominięcie odpowiedzi, komentarzy i powiadomień o nowych treściach.

Xiaozhi-esp32-server przed wersją 0.9.8 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w handlerze DeviceController.getAddressBook w manager-api, która pozwala uwierzytelnionym użytkownikom czytać książki adresowe urządzeń innych użytkowników. Atakujący z zwykłym lub samodzielnie zarejestrowanym kontem może wysłać żądanie /device/address-book/{macAddress} z adresem MAC urządzenia innego użytkownika, aby uzyskać adresy MAC kontaktów, aliasy, uprawnienia do połączeń i identyfikatory właścicieli.

yudao-cloud do wersji 2026.09 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych na poziomie wiersza poprzez wysłanie nagłówka data-permission-enable ustawionego na false. Atakujący mogą dodać ten nagłówek do żądań /admin-api, któremu ufa DataPermissionRpcWebFilter, aby czytać lub modyfikować rekordy innych działów i użytkowników w ramach tej samej dzierżawy.

yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.

open62541 w wersjach 1.5.0 do 1.5.7 zawiera przepełnienie całkowite w UA_DataType_fromStructureDescription(), które powoduje zawijanie 16-bitowego pola memSize dla dużych definicji struktur niestandardowych. Złośliwy serwer OPC UA może dostarczyć definicje DataType poprzez UA_Client_getRemoteDataTypes(), powodując przepełnienie sterty w decodeBinaryStructure(), co prowadzi do awarii klienta lub umożliwia wykonanie kodu.

OpenResty lua-resty-dns przed wersją 0.24 zawiera podatność polegającą na niewłaściwej walidacji danych wejściowych w funkcjach parse_section() i _decode_name(), które nie sprawdzają długości rekordów zasobów względem odebranej wiadomości. Atakujący kontrolujący lub podszywający się pod odpytywany serwer nazw może wysłać obcięte nagłówki rekordów lub RDATA, wywołując nieprzechwycone wyjątki Lua w resolver:query(), które przerywają żądania i psują rozwiązywanie nazw.

Ghidra przed wersją 12.2 zawiera podatność polegającą na obcięciu numerycznym w funkcjach PackedDecode::skipAttribute i skipAttributeRemaining w pliku marshal.cc, które przechowują 64-bitowe długości ciągów w zmiennych 32-bitowych. Atakujący może dostarczyć spreparowany strumień packed, taki jak złośliwy plik .sla, aby wstrzyknąć atrybuty do danych wejściowych dekompilatora lub spowodować awarię procesu dekompilatora.

Crow przed wersją 1.3.4 zawiera podatność niekontrolowanej rekurencji w crow::json::load(), która pozwala zdalnym nieuwierzytelnionym atakującym na zawieszenie serwera poprzez wysłanie głęboko zagnieżdżonego JSON. Atakujący mogą wysłać treść żądania z tysiącami zagnieżdżonych obiektów, aby wyczerpać stos wątku roboczego, kończąc proces i zrywając wszystkie połączenia.

RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.

Camaleon CMS przed wersją 2.9.3 zawiera podatność path traversal, która pozwala użytkownikom z jedynie uprawnieniem do mediów zapisywać dowolne pliki poprzez dostarczenie sekwencji ../ w parametrze name. Atakujący mogą wysłać URI data: base64 do akcji mediów crop_url, aby zapisać szablon ERB w katalogu widoków motywu, który wykonuje się podczas renderowania.

DaybydayCRM do wersji 2.2.1 zawiera podatność polegającą na braku autoryzacji w metodzie ProjectsController::updateAssign(), która pozwala dowolnemu uwierzytelnionemu użytkownikowi na ponowne przypisanie projektów bez uprawnienia can-assign-new-user-to-project. Pracownicy o niskich uprawnieniach mogą wysyłać żądania PATCH lub POST do /projects/updateassign/{external_id} z wybranym user_assigned_id, aby przekierować własność projektu i powiadomienia.

Wtyczka aBlocks dla WordPressa we wszystkich wersjach do 2.17.0 włącznie jest podatna na eskalację uprawnień poprzez endpoint REST /ablocks/v1/form-builder/registration. Endpoint jest zarejestrowany z permission_callback => __return_true, a handler register() odczytuje roleSlug bezpośrednio z atrybutów bloku kontrolowanych przez atakującego, bez weryfikacji, że formType to registration, co pozwala użytkownikom z poziomem Contributor i wyższym eskalować rolę do Editor lub innej roli nieadministracyjnej i uzyskać uwierzytelnioną sesję na podwyższonym poziomie uprawnień.

Podatność IDOR w Cervantes w wersji v1.3-beta pozwala uwierzytelnionemu atakującemu na dostęp do wrażliwych ustaleń, szczegółów proof-of-concept, poświadczeń i informacji o klientach z projektów, do których nie należy. Dodatkowo atakujący może modyfikować statusy ustaleń i przenosić je do własnych projektów, naruszając poufność i integralność danych.

Podatność BOLA w Cervantes w wersji v1.3-beta pozwala atakującemu na modyfikację lub usunięcie celów należących do innych projektów bez autoryzacji, naruszając integralność zakresów testów penetracyjnych, wyników i powiązanych raportów bezpieczeństwa.

Podatność braku autoryzacji w wtyczce WordPress WP Social Feed Gallery (insta-gallery) pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 5.0.13.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce WordPress Ad Inserter (ad-inserter) pozwala na odbity atak XSS. Problem dotyczy wersji od n/a do 2.8.18.

W wersji v1.3-beta aplikacji Cervantes występuje podatność typu Stored XSS w polu „Notes” w sekcji Checklists. Atakujący może zapisać złośliwy kod, który następnie zostanie wykonany w przeglądarce innego użytkownika z podwyższonymi uprawnieniami.

Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Może to prowadzić do wykonania niepożądanego kodu przez atakującego.

W komponencie JiraController w Cervantes w wersji v1.3-beta występuje nieprawidłowa kontrola dostępu, która może pozwolić atakującemu na tworzenie, edycję lub usuwanie zgłoszeń Jira dla podatności w innych projektach. Luka wynika z niewystarczającej weryfikacji uprawnień.

Wtyczka WordPress QA Analytics (qa-heatmap-analytics) do wersji 5.3.0.1 jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika.