Katalog podatności CVE

CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.

CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.

Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.

W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametr 'gdpr-data' we wszystkich wersjach do 6.4.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta przeciwko innym kontom, ponieważ handlery AJAX akceptują dowolny identyfikator gdpr-user bez weryfikacji, czy należy do żądającego, a wymagany nonce wpas-gdpr-nonce jest emitowany przez wp_localize_script do każdego zalogowanego użytkownika na stronach wtyczki i na /wp-admin/profile.php.

Wtyczka Redux Framework dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) przez User Meta Merge w polu 'user-mediaurl' Media Field we wszystkich wersjach do 4.5.14 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta, którzy mogą przechowywać payload w polach meta użytkownika, takich jak biografia, session_tokens (poprzez spreparowany User-Agent przy logowaniu) lub persisted_preferences (poprzez REST API), które są następnie promowane do ogólnoserwisowej opcji redux_demo, gdy naprawa URL mediów jest wyzwalana na panelu demo.

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.

Wtyczka Duplicate Post dla WordPressa do wersji 1.5.6 włącznie jest podatna na trwały XSS przez parametr 'noti_token'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wymaga to włączenia przez administratora uprawnień dla roli Subscriber w ustawieniach wtyczki.

MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).

MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.

Wtyczka bbp style pack dla WordPressa do wersji 6.4.8 włącznie jest podatna na trwały XSS przez parametry 'display_name' i 'bbp_reply_content'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Skuteczny atak wymaga umieszczenia odpowiedzi w bloku <pre>, aby uniknąć konwersji cudzysłowów.

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (nazwa wybrana przez atakującego, pasująca do formularza url.<name>). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie pola Text Area z wartością 'url.<name>' i wyłączonym predefinedClick.

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (dowolny parametr URL używany w równaniu formularza). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie publicznego formularza z dropdownem Select2, którego opcje są wypełniane przez równanie używające GETURLPARAMETER() i setChoices().

Wtyczka Social Media Share Buttons & Social Sharing Icons dla WordPressa do wersji 3.0.1 włącznie jest podatna na odbity XSS przez URL. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Atak wymaga, aby ofiara była na urządzeniu mobilnym i kliknęła ikonę WeChat, ale po otwarciu okna skrypt wykonuje się automatycznie.