Katalog podatności CVE

W systemie Dell PowerProtect Data Domain w wersjach od 7.7.1.0 do 8.6 oraz w wydaniach LTS2026, LTS2025 i LTS2024 wykryto podatność związaną z nieprawidłową kontrolą dostępu w mechanizmie RBAC. Niskouprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę lukę do manipulacji informacjami.

Produkt Dell PowerProtect Data Domain w wielu wersjach zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego. Wysoko uprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wykonania dowolnych poleceń.

To CVE zostało odrzucone przez Red Hat Product Security jako niepotrzebne. Zgłoszony problem został sklasyfikowany jako zwykły błąd i będzie naprawiany w standardowym procesie usuwania błędów.

Podatność w serwerze Kong Konnect Model Context Protocol (MCP) przed wersją 1.0.0 umożliwia zdalnemu atakującemu przeprowadzenie pośredniego ataku polegającego na wstrzyknięciu polecenia (prompt injection) i wykonanie niezamierzonych żądań API.

W Eclipse Theia od wersji 1.26.0 backendowy punkt końcowy /services/request-service RPC akceptuje adres URL kontrolowany przez atakującego z dowolnego klienta podłączonego do standardowego punktu końcowego /services, wykonuje żądanie HTTP po stronie serwera i zwraca pełną treść odpowiedzi. Ponieważ docelowy adres URL nie jest walidowany ani dozwolony, zdalny atakujący z dostępem do połączenia usługi Theia może wysyłać żądania HTTP po stronie serwera do localhost lub innych hostów dostępnych z backendu i odczytywać ich odpowiedzi.

W podatnych wersjach Eclipse Theia (1.8.1 i nowsze) backend przeglądarki udostępnia uprzywilejowane RPC terminala przez WebSocket bez uwierzytelniania na poziomie usługi. Walidacja pochodzenia WebSocket jest zawodna, a atakujący może przejąć kontrolę nad terminalem.

Wtyczka RTMKit (rometheme-for-elementor) dla WordPressa do wersji 2.0.7 włącznie zawiera podatność na lokalne dołączanie plików (LFI). Problem wynika z niewystarczającej walidacji ścieżki w parametrze 'template' w punkcie końcowym AJAX render_templates, który jest używany bezpośrednio w instrukcji require/include bez sanityzacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym dołączanie i wykonywanie plików na serwerze kończących się na _templates.php, co pozwala na wykonanie dowolnego kodu PHP w tych plikach.

Wtyczka Destekz od Raera - Ankara Web Design and Digital Advertising Agency zawiera podatność na odbite ataki XSS spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji do 02062026, a produkt nie jest już wspierany przez producenta.

W produkcie Destekz firmy Raera - Ankara Web Design and Digital Advertising Agency wykryto podatność na wstrzykiwanie SQL (SQL injection) spowodowaną niewłaściwym neutralizowaniem specjalnych elementów w zapytaniach SQL. Luka ta umożliwia atakującemu wykonanie dowolnych zapytań SQL w bazie danych.

Wtyczka GenerateBlocks dla WordPressa jest podatna na trwałe ataki XSS w bloku nagłówka przez atrybut 'linkMetaFieldType'. Luka występuje we wszystkich wersjach do 2.2.1 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i kodowania wyjścia.

Motyw Zakra dla WordPressa do wersji 4.2.0 włącznie zawiera podatność na trwałe ataki XSS. Brak walidacji danych w rejestracji pól meta posta (zakra_menu_item_color, zakra_menu_item_hover_color, zakra_menu_item_active_color) przez REST API pozwala atakującym z dostępem na poziomie Współautora lub wyższym na wstrzyknięcie złośliwego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.

Podatność typu Path Traversal w bibliotece Apache Lucene.Net.Replicator umożliwia nieograniczone odczytywanie plików poza dozwolonym katalogiem. Problem dotyczy wersji od 4.8.0-beta00005 do 4.8.0-beta00017.

Podatność w BIOS-ie platform Dell Client umożliwia ominięcie uwierzytelniania poprzez słabość pierwotną. Nieuwierzytelniony atakujący z fizycznym dostępem może potencjalnie wykorzystać tę lukę, prowadząc do ujawnienia informacji.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.16 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez atrybut 'data' w shortcode [adinserter]. Funkcja replace_ai_tags() przetwarza wzór {reusable-block-N} i wywołuje get_post_field('post_content', N) bez weryfikacji uprawnień użytkownika, bez ograniczenia typu postu do 'wp_block' i bez sprawdzania statusu postu.

Wtyczka CURCY – Multi Currency for WooCommerce dla WordPressa w wersjach do 2.2.14 umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Podatność wynika z braku walidacji wartości przed przekazaniem jej do funkcji do_shortcode.

Wtyczka LatePoint do WordPressa do wersji 5.6.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowani atakujący mogą modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji gościnnych.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.4 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie współautora lub wyższym może modyfikować quizy, nadpisywać strony wyników oraz przekierowywać powiadomienia e-mail na kontrolowane przez siebie adresy.

Wtyczka Comments – wpDiscuz dla WordPressa w wersjach do 7.6.56 zawiera podatność na trwałe ataki XSS. Wynika to z braku odpowiedniego kodowania wyjścia w funkcji getCommentAuthor(), która bezpośrednio interpoluje pole 'Website' gościa komentującego do atrybutów HTML w pojedynczych cudzysłowach. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdym wyświetleniu strony.

Podatność w Puppet resource_api powoduje, że wrażliwe parametry (np. hasła) nie są oznaczane jako poufne i są przechowywane w postaci jawnej w lokalnym cache'u transakcji agenta. Dotyczy to wersji modułu resource_api od 1.5.0 do 1.9.1 oraz 2.0.0.

Wtyczka RTMKit dla WordPressa do wersji 2.0.7 zawiera podatność na trwałe ataki XSS w widżecie Advanced Heading. Wynika to z braku odpowiedniego kodowania wyjścia parametru 'Background Text' w funkcji render(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnego skryptu.