Katalog podatności CVE

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa jest podatna na przechowywany XSS poprzez ciasteczko 'service_type' we wszystkich wersjach do 1.5.5 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Atakujący bez uwierzytelnienia może wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka Schema App Structured Data dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w filtrze wyjściowym 'Remove Microdata' we wszystkich wersjach do 2.3.2 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka SSL Wireless SMS Notification dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 3.8.1 włącznie. Handler final_login_ajax_action uwierzytelnia użytkownika, dopasowując tabelę wp_sslcare_otp wyłącznie po numerze telefonu i cap_data dostarczonych przez atakującego, bez weryfikacji OTP SMS ani stanu jednorazowego po stronie serwera.

Wtyczka Social Web Suite – Social Media Auto Post, Social Media Auto Publish dla WordPressa jest podatna na SQL Injection poprzez parametr 'exclude_posts' we wszystkich wersjach do 4.1.12 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka SendPress Newsletters dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'subscriberid' we wszystkich wersjach do 1.26.1.20 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka Wild Apricot Login dla WordPressa w wersjach do 1.0.18 włącznie jest podatna na obejście uwierzytelniania poprzez powiązanie konta na podstawie kolizji adresu e-mail w SSO. Gdy nie znaleziono mapowania kontaktu WildApricot, wtyczka używa globalnego wyszukiwania użytkownika po e-mailu i bez weryfikacji własności konta (hasła, potwierdzenia e-mail, zgody administratora) wydaje sesyjne ciasteczko uwierzytelniające dla znalezionego użytkownika. Atakujący z dostępem do kontaktu WildApricot o adresie e-mail administratora podstrony może przejąć jego tożsamość w całej sieci Multisite.

W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.

Wtyczka Ortto dla WordPressa przed wersją 1.0.25 nie uwierzytelniała żądań aktualizacji konfiguracji, opierając się wyłącznie na sekrecie ujawnionym w publicznym HTML. Nieuwierzytelniony atakujący mógł nadpisać konfigurację wtyczki, aby serwować dowolne skrypty.

W Bixby przed wersją 4.0.85.6 występuje niewłaściwa walidacja danych wejściowych, która pozwala uprzywilejowanym lokalnym atakującym na uruchamianie dowolnych aktywności.

W MailWatch for MailScanner przed wersją 1.2.27 każdy uwierzytelniony użytkownik, w tym role U, D i H, może zwolnić do skrzynki odbiorczej lub trwale usunąć kwarantannowaną pocztę innego użytkownika lub domeny, podając dowolny identyfikator wiadomości do mailscanner/quarantine_action.php. Akcja nie sprawdza właściciela wiadomości ani nie stosuje filtra global_filter, a identyfikatory wiadomości są wyliczalne.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 i 11.7.x <= 11.7.10 nie weryfikuje docelowego identyfikatora posta w komponencie przypomnień o wzmiankach wtyczki Agents. Uwierzytelniony użytkownik mogący publikować w kanale widocznym dla administratora systemu może spowodować, że przeglądarka administratora wyśle niezamierzone żądanie API, co prowadzi do zamiany zainstalowanej wtyczki i wykonania kodu na serwerze. Wymaga to kliknięcia przez administratora spreparowanego przypomnienia o wzmiance.

Podatność SSRF w AVideo (przed wersją 8.1.0) pozwala nieuwierzytelnionemu atakującemu na odczyt odpowiedzi z wewnętrznych usług HTTP/HTTPS oraz FTP. Funkcja `url_get_contents` nie blokuje adresów prywatnych, loopback ani link-local i wyłącza weryfikację certyfikatów TLS, a endpoint `objects/login.json.php` zwraca pobraną zawartość. Dodatkowo `view/youtubeDl.json.php` umożliwia żądania do wewnętrznych serwerów FTP.

W AVideo przed wersją 8.1.0 koder nie ma globalnej warstwy uwierzytelniania i udostępnia anonimowym wywołaniom sieciowym endpointy PHP sterowania i statusu. Endpointy `view/run.php`, `view/queue.json.php`, `view/status.php` i `view/listFiles.json.php` pozwalają nieuwierzytelnionemu atakującemu sterować procesorem kolejki, odczytywać informacje o kolejce i streamerach, uzyskiwać statystyki pamięci oraz wyliczać nazwy i ścieżki plików multimedialnych w dowolnym katalogu czytelnym dla użytkownika serwera WWW. Luka jest naprawiona w wersji 8.1.0.

W AVideo przed wersją 8.1.0 nieuwierzytelnione logowanie streamera w `objects/login.json.php` przekazuje parametr `user` do `Streamer::get`, gdzie jest wstawiany do zapytania SELECT MariaDB w pojedynczych cudzysłowach bez parametryzacji lub escapowania. Mimo że `objects/security.php` usuwa literalne pojedyncze cudzysłowy, `html_entity_decode` w `objects/Login.php` przywraca zakodowane encjami cudzysłowy przed zapytaniem. Wyniki UNION są ujawniane przez `streamers_id`, a błędy zwracają zapytanie i komunikat błędu MariaDB. Luka jest naprawiona w wersji 8.1.0.

Dodatek AnkiMCP do wersji 0.21.0 wyłącza ochronę przed DNS-rebinding w FastMCP, także dla domyślnego lokalnego nasłuchu HTTP na 127.0.0.1:3141, bez uwierzytelniania i bez list dozwolonych Host/Origin. Złośliwa strona internetowa odwiedzona przez ofiarę może wykonać żądania do pętli zwrotnej i uzyskać dostęp do MCP, wyliczyć narzędzia oraz odczytać lokalną kolekcję i wykonywać niedestrukcyjne operacje na notatkach i taliach.

OpenCATS przed wersją 0.10.0 zawiera lukę SQL injection w filtrowaniu dat DataGrid aktywności w `home:CallsDataGrid` i `activity:ActivityDataGrid`, gdzie parametry `period`, `startDate` i `endDate` są używane bez wystarczającej walidacji lub escapowania. Uwierzytelniony użytkownik z dostępem do dotkniętych endpointów DataGrid może zmienić zamierzone zapytanie, aby uzyskać dostęp do poufnych danych bazy, w tym kont użytkowników, rekordów kandydatów, danych kontaktowych, informacji o firmach, zleceń pracy i historii aktywności. Wymagane jest ważne logowanie do OpenCATS. Luka jest naprawiona w wersji 0.10.0.

W OpenCATS przed wersją 0.10.0 funkcja konfiguracji licencji profesjonalnej w SettingsUI przyjmuje klucz licencji kontrolowany przez administratora, który jest wstawiany do instrukcji PHP define() w config.php bez bezpiecznego escapowania. Poprzez spreparowane dane wejściowe można zmienić składnię PHP pliku i uzyskać trwałe wykonanie dowolnego kodu PHP z uprawnieniami procesu serwera WWW.

Bricks Builder w wersji 2.4.3 i wcześniejszych zawiera podatność na złamanie kontroli dostępu, która pozwala nieuwierzytelnionym atakującym uzyskać dostęp do zastrzeżonych treści wpisów poprzez przesłanie spreparowanych wartości post_status i post_type w parametrze originalQueryVars do endpointu REST POST /wp-json/bricks/v1/query_result z użyciem publicznie dostępnego nonce. Atakujący mogą ustawić post_status na draft lub private albo post_type na shop_coupon, ujawniając nieopublikowane wpisy, prywatne treści i dane kuponów WooCommerce.

Bricks Theme w wersji 2.4.3 i wcześniejszych zawiera podatność na wstrzyknięcie tagów danych dynamicznych bez uwierzytelnienia, która pozwala anonimowym atakującym kontrolować obiekt urlParams w endpoincie REST query_result, powodując ponowne przetworzenie przesłanej wartości jako tagu danych dynamicznych Bricks. Atakujący mogą wstrzyknąć tagi takie jak author_meta:user_pass, author_meta:user_email lub cf_coupon_amount, aby ujawnić metadane wpisu i rekord użytkownika autora wpisu, w tym hash hasła.

Volmarg Personal Management System do wersji 2.1.0 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia powłoki poprzez nieescapowane ścieżki folderów w poleceniu tree modułu storage. Atakujący mogą utworzyć katalog w upload/files zawierający metaznaki powłoki, takie jak $(...), a następnie przenieść lub skopiować go, uruchamiając polecenia jako użytkownik serwera WWW.