Katalog podatności CVE

W komponencie platform-mbean JBoss EAP wykryto błąd polegający na braku wymaganych kontroli RBAC w obsłudze operacji read-resource na zasobie zarządzania runtime. Uwierzytelniony użytkownik z niskimi uprawnieniami, np. rolą Monitor, może przeglądać wrażliwe właściwości systemowe i szczegóły konfiguracji JVM, które powinny być ograniczone.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.

Wtyczka WordPress Recipe Card Blocks Lite przed wersją 3.6.4 nie sprawdza uprawnień przed renderowaniem wpisów przez funkcję drukowania przepisów. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie tytułu, ID i treści przepisu niepublikowanych wpisów (szkiców, oczekujących, prywatnych i chronionych hasłem). Opcjonalna ochrona "drukuj tylko opublikowane wpisy" nie działa, ponieważ status sprawdzany jest dla innego wpisu niż renderowany.

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.6.0 (w tym 6.5.8 i starsze) nie ma prawidłowych kontroli uprawnień podczas aktualizacji danych wpisów przez jedną z tras REST API. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Author i wyższym modyfikację tytułu, treści, zajawki i innych pól dowolnych wpisów, stron i załączników, w tym należących do innych użytkowników.

Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.

Wtyczka WordPress WP Photo Album Plus przed wersją 9.3.04.004 nie weryfikuje pochodzenia ani tokenu bezpieczeństwa dla jednego z żądań zarządzania komentarzami. Umożliwia to atakującym usuwanie komentarzy do zdjęć poprzez nakłonienie zalogowanego użytkownika z uprawnieniami do moderacji komentarzy do załadowania spreparowanej strony.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.

Wtyczka WordPress Hide Price Until Login w wersji przed 1.1.2 nie ogranicza obsługi rejestracji gości i nie respektuje ustawienia witryny dotyczącego rejestracji użytkowników. W efekcie każdy może utworzyć konto WordPress i uzyskać sesję zalogowanego użytkownika, nawet gdy rejestracja jest wyłączona.

Wtyczka WordPress Wallet System for WooCommerce w wersji przed 2.8.2 nie ogranicza obsługi przesyłania dokumentów KYC do konta bieżącego użytkownika, pobierając docelowy identyfikator użytkownika z pola żądania bez sprawdzenia własności lub uprawnień. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (np. Subscriber lub Customer) nadpisanie dokumentów KYC i statusu weryfikacji dowolnego innego użytkownika, w tym administratora.

W funkcjonalności /api/runscript w FUXA (wersja 1.3.2-2809) występuje luka pozwalająca na obejście autoryzacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania operacji o podwyższonych uprawnieniach, a atakujący może wywołać je bez uwierzytelnienia.

W funkcjonalności /nodered/fuxa/scripts w FUXA (wersja 1.3.2-2809) występuje luka ujawnienia informacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wycieku informacji, a atakujący może wywołać ją bez uwierzytelnienia.

W zagrożonych wersjach Octopus Server z włączonym dostawcą uwierzytelniania LDAP każdy uwierzytelniony użytkownik mógł wywołać wyszukiwanie użytkowników LDAP oraz wyszukiwanie grup LDAP.

W openEQUELLA przed wersją 2026.2 powiadomienie przed logowaniem jest przechowywane jako HTML i renderowane na starszej stronie logowania bez kodowania i sanityzacji. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może ustawić powiadomienie zawierające dowolny skrypt (PUT /api/preloginnotice), co prowadzi do przechowywanego XSS na stronie logowania; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.

W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).

W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie filtrowała danych produktów WooCommerce osadzanych na publicznych stronach sklepu. Nieuwierzytelniony atakujący mógł odczytać hasła produktów i prywatne metadane produktów z zagrożonego sklepu.