Katalog podatności CVE

Perforce P4 Search przed wersją 2026.4.2 ufa adresowi dostarczonemu przez klienta podczas walidacji niektórych żądań uwierzytelnienia. Atakujący posiadający skradziony bilet P4 Server może ominąć ograniczenia oparte na hoście i kontrole zaufanych adresów, uzyskując dostęp do P4 Search jako właściciel biletu.

Perforce P4 Search przed wersją 2026.4.2 nie waliduje nazw plików dostarczanych do funkcji instalacji rozszerzeń. Atakujący z uprawnieniami superużytkownika lub tokenem usługi może zapisywać pliki o dowolnej treści w katalogu instalacyjnym P4 Search.

Wtyczka Taxi Booking Manager for WooCommerce do WordPressa zawiera podatność na nieprawidłową walidację określonej ilości w danych wejściowych, co pozwala na manipulację danymi. Problem dotyczy wersji do 2.1.1 włącznie.

Wtyczka Video Conferencing with Zoom do WordPressa zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 4.6.10 włącznie.

Wtyczka Premium Addons for Elementor do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 4.11.109 włącznie.

Wtyczka JS Help Desk do WordPressa zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 4.0.0 włącznie.

Podatność wtyczki JS Help Desk (js-support-ticket) do wersji 4.0.0 umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu.

Wtyczka Presto Player (presto-player) do wersji 4.5.2 zawiera podatność na przechowywany atak XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Starter Templates (astra-sites) do wersji 4.7.7 zawiera podatność na przechowywany atak XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcji decode_ms_ima w pliku src/coding/ima_decoder.c (komponent Microsoft IMA Decoder). Manipulacja prowadzi do dzielenia przez zero, a atak może być wykonany zdalnie.

W bibliotece vgmstream do wersji r2117 wykryto słabość w funkcji make_group_random w pliku src/meta/txtp_process.c (komponent TXTP File Handler). Manipulacja powoduje użycie po zwolnieniu (use-after-free), a atak wymaga dostępu lokalnego. Zalecana jest poprawka o identyfikatorze ae37662ad626254ddd96ad69ac263792d7a92024.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcjach parse_params/txtp_parse w pliku src/meta/txtp_parser.c (komponent TXTP File Handler). Manipulacja prowadzi do zapisu poza zakresem (out-of-bounds write), a atak może być wykonany zdalnie. Zalecana jest poprawka o identyfikatorze 4669d37a6af94866f6f0628678f9f90d46954e8b.

Narzędzie pwhois w Net::Whois::Raw przed wersją 2.99044 dla Perla zapytuje WHOIS o niewłaściwą domenę dla nazw unicode. Kodowanie punycode pomija kroki mapowania i normalizacji IDNA, co prowadzi do błędnych etykiet A dla niektórych znaków.

W systemie GROWI istnieje podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na odczyt plików znajdujących się w niepublicznych stronach, gdy ustawienie przesyłania plików jest skonfigurowane jako "Local".

Wtyczka UPI QR Code Payment Gateway dla WordPressa do wersji 1.4.3 nie weryfikuje, czy żądanie potwierdzenia płatności faktycznie dotyczy zamówienia i klienta, które potwierdza. Pozwala to nieuwierzytelnionym atakującym oznaczyć dowolne zamówienie jako opłacone bez dokonania płatności.

Wtyczka File Uploads Addon for WooCommerce dla WordPressa przed wersją 1.7.6 nie weryfikuje, czy osoba żądająca pliku przesłanego przez klienta jest tym klientem. Pozwala to nieuwierzytelnionym atakującym, którzy znają lub zgadną nazwę pliku, na pobieranie plików innych klientów.

Wtyczka File Uploads Addon for WooCommerce dla WordPressa do wersji 1.7.6 przechowuje pliki przesłane przez klientów w publicznie dostępnym katalogu uploads, a wygenerowane ograniczenie dostępu jest nieskuteczne. Nieuwierzytelniony atakujący, który zna lub zgadnie nazwę pliku, może pobrać pliki klientów bezpośrednio, omijając mechanizm uwierzytelnionego pobierania.

W przepływie Dynamic Client Registration serwera Keycloak wykryto lukę polegającą na braku filtrowania wrażliwych atrybutów klienta podczas rejestracji nowego klienta. Atakujący posiadający ważny Initial Access Token może zarejestrować klienta omijającego sprawdzanie odbiorcy (audience) podczas introspekcji tokenów, co pozwala mu odczytywać dane tożsamości, role i szczegóły sesji z tokenów innych aplikacji w tym samym realmie.

W mapperze User Session Note rozwiązania Keycloak wykryto lukę polegającą na braku walidacji, czy żądana notatka sesji zawiera wrażliwe wewnętrzne poświadczenia, takie jak sfederowane tokeny dostępu od zewnętrznych dostawców tożsamości. Umożliwia to delegowanemu administratorowi klienta wyciek tokenów bearer użytkownika do tokenów wydawanych zarządzanej przez niego aplikacji.

W authenticatorze certyfikatów klienta X.509 rozwiązania Keycloak wykryto lukę występującą, gdy serwer jest skonfigurowany do sprawdzania unieważnienia certyfikatów za pomocą CRL Distribution Points lub OCSP. Atakujący może dostarczyć specjalnie spreparowany certyfikat wskazujący na złośliwy serwer, powodując, że Keycloak wykonuje nieautoryzowane żądania wychodzące do wewnętrznych lub zewnętrznych punktów końcowych przed pełną walidacją certyfikatu.