Katalog podatności CVE

Podatność na Cross-Site Scripting (XSS) w aplikacji Repasat. Udane wykorzystanie może pozwolić atakującemu nakłonić użytkownika do wykonania dowolnego kodu w jego przeglądarce. Dotknięty jest parametr „nomRuta” w punkcie końcowym „/es/routes/update/693”.

Podatność na Cross-Site Scripting (XSS) w aplikacji Repasat. Udane wykorzystanie może pozwolić atakującemu nakłonić użytkownika do wykonania dowolnego kodu w jego przeglądarce. Dotknięty jest parametr „nomTransportista” w punkcie końcowym „/es/carriers/update”.

Podatność na Cross-Site Scripting (XSS) w aplikacji Repasat. Udane wykorzystanie może pozwolić atakującemu nakłonić użytkownika do wykonania dowolnego kodu w jego przeglądarce. Dotknięty jest parametr „nomZonaGeo” w punkcie końcowym „/es/geozones/update/149979”.

Podatność polegająca na obejściu autoryzacji przez klucz kontrolowany przez użytkownika w ThimPress LearnPress, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy LearnPress od wersji n/a do 4.4.9.

W bibliotece FreeType, w loaderze czcionek CID, wykryto podatność. Zdalny atakujący może nakłonić użytkownika do otwarcia treści zawierającej specjalnie spreparowaną czcionkę CID, co powoduje powtarzające się alokacje i odszyfrowania danych podprogramów w wielu słownikach czcionek. Prowadzi to do nadmiernego zużycia pamięci i CPU, a w konsekwencji do odmowy usługi (DoS) — zawieszenia lub zakończenia działania aplikacji przetwarzającej czcionkę.

Narzędzie cjbassi/gotop jest podatne na lokalną injekcję argumentów poprzez funkcję kończenia procesów. Nazwa procesu jest przekazywana bezpośrednio do pkill bez sanityzacji, więc lokalny atakujący może utworzyć proces o spreparowanej nazwie zaczynającej się od -- (np. zawierającej UID docelowego użytkownika). Gdy użytkownik uruchamiający gotop użyje funkcji kill na takim procesie, pkill zinterpretuje spreparowaną nazwę jako opcję wiersza poleceń i zakończy wszystkie procesy należące do wskazanego użytkownika. Produkt nie jest już aktywnie wspierany, a podatność nie została naprawiona; potwierdzono ją w wersji 3.0.0.

Podatność typu Server-Side Request Forgery (SSRF) w platformie Sef - AI Chatbot Platform firmy HAVELSAN Inc. pozwala na wykonywanie żądań po stronie serwera do dowolnych adresów. Problem dotyczy wersji przed 2.1. Uwaga: dostawca został skontaktowany i poinformowano, że produkt nie jest wspierany.

Brak autoryzacji w platformie Sef - AI Chatbot Platform firmy HAVELSAN Inc. pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji przed 2.1. Uwaga: dostawca został skontaktowany i poinformowano, że produkt nie jest wspierany.

W aplikacji Repasat występuje podatność typu Cross-Site Scripting (XSS). Udana eksploatacja może pozwolić atakującemu na nakłonienie użytkownika do wykonania dowolnego kodu w jego przeglądarce. Podatny jest endpoint „/es/datatables/getemployeetypesdatatable”.

W aplikacji Repasat występuje podatność typu Cross-Site Scripting (XSS). Udana eksploatacja może pozwolić atakującemu na nakłonienie użytkownika do wykonania dowolnego kodu w jego przeglądarce. Podatny jest parametr „nomListaValidacion” w endpoincie „/es/validationslists/assignList/Employee/45659”.

W aplikacji Repasat występuje podatność typu Cross-Site Scripting (XSS). Udana eksploatacja może pozwolić atakującemu na nakłonienie użytkownika do wykonania dowolnego kodu w jego przeglądarce. Podatny jest parametr „name” w endpoincie „/es/attachmenttypes/update/203336”.

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na ogólną injekcję SQL poprzez parametr 'orderby' we wszystkich wersjach do 5.29.5 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Użytkownik na poziomie Contributor może osiągnąć podatną ścieżkę kodu, podając post_id, którego jest autorem, ponieważ brama can_access_page() wymaga jedynie autorstwa posta, a nie uprawnienia edit_others_posts dla właścicieli postów.

Wtyczka Download Manager dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez Display Name we wszystkich wersjach do 3.3.70 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to obecności shortcode'u [wpdm_edit_profile] na stronie front-endu dostępnej dla użytkowników na poziomie Subscriber, którzy mogą następnie przesłać wielokrotnie zakodowany ładunek poprzez pole display name, aby obejść sanityzację.

Wtyczka Listdom: AI-powered Business Directory with Classifieds Ads Listings dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'lsd[remark]' we wszystkich wersjach do 6.1.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to możliwe do wykorzystania przez użytkowników na poziomie Subscriber, ponieważ gałąź tworzenia listy w handlerze AJAX pomija sprawdzenie uprawnień, a wymagany nonce jest publicznie emitowany na każdej stronie zawierającej shortcode [listdom-dashboard].

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa (wersje do 5.7.1 włącznie) jest podatna na Insecure Direct Object Reference. Publiczny, nieuwierzytelniony endpoint AJAX ładuje fakturę po sekwencyjnym identyfikatorze invoice_id bez weryfikacji właściciela ani klucza dostępu, co pozwala atakującemu wyliczać faktury innych klientów i tworzyć lub nadpisywać intencje transakcji.

Wtyczka Greenshift – animation and page builder blocks dla WordPressa (wersje do 13.2.0 włącznie) jest podatna na Reflected Cross-Site Scripting poprzez dynamiczny placeholder '{{GET:}}'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

W Bouncy Castle dla Javy przed wersją 1.86, kilka punktów wejścia do wyprowadzania kluczy na podstawie hasła uruchamiało KDF z parametrami kosztu pobranymi z niezaufanego wejścia, bez ich ograniczania, co pozwalało małemu wejściu wymusić dowolną ilość pracy przed odrzuceniem przez hasło lub kontrolę integralności. Dotknięte ścieżki to konstruktory kalkulatora MAC PBMAC1 RFC 9579, parametr równoległości scrypt p w osłonach kosztu PKCS#8 i PKCS#12, surowy dostawca PBKDF2 JCA oraz liczba rund bcrypt odczytana z własnych kdfoptions prywatnego klucza OpenSSH v1. Każdy z nich teraz ogranicza parametr przed wyprowadzeniem, zgodnie z limitami zastosowanymi już w innych miejscach drzewa, z liczbą rund OpenSSH konfigurowalną przez nową właściwość org.bouncycastle.openssh.max_rounds. To uzupełnia ograniczenia rozpoczęte w wersji 1.85 dla deszyfratorów PKCS#8 / PBES2 (CVE-2026-15055). Problem dotyczy również Bouncy Castle dla Javy LTS przed 2.73.13 oraz Bouncy Castle dla Javy FIPS (BC-FJA) przed bcpkix-fips 1.0.13 (seria 1.0.X), 2.0.13 (seria 2.0.X) i 2.1.13 (seria 2.1.X).

Wtyczka Dc Woocommerce Multi Vendor dla WordPressa (wersje do 5.0.18 włącznie) jest podatna na SQL Injection poprzez parametr 'order_by' endpointu REST /multivendorx/v1/compliance/report-abuse. Wartość jest konkatenowana bezpośrednio do klauzuli ORDER BY, a esc_sql() nie zapewnia ochrony, co pozwala uwierzytelnionym atakującym z uprawnieniami vendora (edit_stores) dołączać dodatkowe zapytania SQL.

W bibliotece bc-csharp (Bouncy Castle dla .NET) przed wersją 2.7.0 występuje nieprawidłowa walidacja certyfikatów w PkixNameConstraintValidator. Atakujący kontrolujący lub mogący uzyskać certyfikaty od pośredniego CA z ograniczeniami nazw może spowodować akceptację certyfikatów dla adresów e-mail, nazw DNS lub URI, które znajdują się w wykluczonych poddrzewach, poprzez nazwy kończące się kropką (np. rfc822Name, dNSName, uniformResourceIdentifier), ponieważ porównanie nie usuwa końcowej kropki (root-label) zgodnie z RFC 1034.

Wtyczka MStore API dla WordPressa przed wersją 4.22.1 nie ogranicza, które pola zamówienia może aktualizować klient. Każdy uwierzytelniony użytkownik z możliwością samodzielnej rejestracji może zmienić status własnego nieopłaconego zamówienia na opłacone lub zrealizowane i odebrać towar bez płacenia.