Katalog podatności CVE

W bibliotece GPAC wykryto podatność przepełnienia bufora w stercie w funkcji mpgviddmx_process w pliku filters/reframe_mpgvid.c komponentu MPEG Video Reframer. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny. Problem naprawiono w wersji abi-16.23.

W SourceCodester Online Faculty Clearance System 1.0 wykryto podatność w funkcji move_uploaded_file w pliku production/edit_picture.php komponentu Profile Picture Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.7.7 włącznie, poprzez parametr 'mediaId', z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może uzyskać dostęp do transkrypcji prywatnych załączników audio innych użytkowników, w tym administratorów. Podatność wymaga włączonego modułu Public API.

Wtyczka Job Postings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'position_button' we wszystkich wersjach do 2.8.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'etn_shedule_objective' w schedule_slot we wszystkich wersjach do 4.1.23 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

W stamparm maltrail do wersji 3.0.1 wykryto słabość w funkcji _blacklist w pliku core/httpd.py komponentu Blacklist Endpoint. Manipulacja może prowadzić do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Problem naprawiono w wersji 3.1.

W hawtio-operator wykryto usterkę: gdy skonfigurowano niestandardowy sekret TLS dla Route, a operator działa na poziomie debugowania 1 lub wyższym, cały obiekt Route — w tym prywatny klucz TLS w formacie PEM — jest serializowany do JSON i zapisywany na standardowym wyjściu operatora. Logi operatora są zazwyczaj przekazywane do centralnych systemów logowania i czytelne dla każdego z dostępem do pods/log w przestrzeni nazw openshift-operators. Poziom debugowania 1 jest niskim progiem często włączanym podczas rozwiązywania problemów.

W hawtio-operator wykryto usterkę: operator posiada uprawnienie routes/custom-host:create w całym klastrze i zapisuje wartość spec.routeHostName dostarczoną przez dzierżawcę z zasobu Hawtio bezpośrednio do specyfikacji Route bez walidacji lub kontroli autoryzacji. Użytkownik z uprawnieniami edycji przestrzeni nazw, który normalnie nie może ustawiać niestandardowych nazw hostów Route, może użyć operatora jako confused deputy do przejęcia dowolnych zewnętrznie routowalnych nazw hostów, co umożliwia przejęcie subdomeny, a w połączeniu z automatycznie przyznawanym OAuthClient — przejęcie przekierowania OAuth.

Wtyczka WordPress WP Directory Kit do wersji 1.5.7 nie sprawdza statusu ani własności wpisu przed zwróceniem jego treści przez publiczną akcję AJAX, co pozwala nieuwierzytelnionym atakującym na odczyt szkiców i niezatwierdzonych wpisów należących do innych użytkowników.

moment to biblioteka JavaScript do parsowania, walidacji, manipulacji i formatowania dat. W wersjach od 2.29.2 do 2.30.1 specjalnie spreparowany obiekt niebędący łańcuchem znaków przekazany do moment.locale() może obejść zabezpieczenie przed path traversal w nazwie locale. Zabezpieczenie zakłada, że dane wejściowe są łańcuchem znaków, więc obiekt, którego metoda match() spełnia warunek, a toString() zwraca ścieżkę traversal, dociera do wewnętrznego wywołania require() z segmentami ścieżki kontrolowanymi przez atakującego. Jest to niekompletna poprawka dla CVE-2022-24785 i dotyczy głównie użytkowników npm (po stronie serwera), którzy przekazują dane wejściowe od użytkownika bezpośrednio do moment.locale(). Problem naprawiono w wersji 2.31.0.

Wtyczka WordPress WP Directory Kit w wersji do 1.5.7 nie sanityzuje ani nie escapuje niektórych ustawień widgetów przed użyciem ich w zapytaniu SQL. Umożliwia to uwierzytelnionym użytkownikom z dostępem do kreatora stron (rola Editor i wyższe) przeprowadzenie ataków SQL injection, które wykonują się podczas renderowania dotkniętej strony.

Wtyczka 3D FlipBook – PDF Embedder, PDF Flipbook Viewer, Flipbook Image Gallery dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.16.20 włącznie, poprzez parametr 'id'. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie poufnych danych, w tym pełnego ładunku metadanych flipbooków chronionych hasłem — tytułu, konspektu, właściwości i serializowanego bloba danych zawierającego bezpośredni URL bazowego pliku PDF — z pominięciem poufności hasła WordPress. Identyfikatory postów flipbooków mogą być wstępnie wyliczone przez również nieuwierzytelnioną akcję AJAX fb3d_send_posts, co nie wymaga wcześniejszej wiedzy do targetowania konkretnych flipbooków.

Wykryto podatność w D-Link DIR-882 do wersji 20260814. Dotyczy ona funkcji main w pliku /HNAP1/dllog.cgi w komponencie CGI Binary. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w vllm-project vLLM do wersji 0.27.1. Dotyczy ona nieznanej części pliku /v1/chat/completions w komponencie Jinja Template Rendering. Manipulacja argumentem chat_template prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Pull request z poprawką oczekuje na akceptację.

Wykryto podatność w SourceCodester College Notes Gallery Management System 1.0. Dotyczy ona nieznanej funkcji w pliku /dashboard/userprofile.php w komponencie Profile Upload. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w bizwell xClick polegającą na niewłaściwej walidacji danych wejściowych, co umożliwia trwały XSS (Stored XSS). Problem dotyczy wersji R2, R3 i R3.1.

Wykryto podatność w Yao do wersji v1.0.0-rc22. System uwierzytelnia użytkownika, ale nie autoryzuje dostępu do endpointu GET /user/teams/:id, co pozwala każdemu zalogowanemu użytkownikowi na odczyt pełnych rekordów zespołów. Atakujący może podać znany identyfikator zespołu, aby uzyskać wrażliwe dane, takie jak nazwa, opis, informacje o właścicielu i ustawienia, bez weryfikacji członkostwa.

Soft Serve w wersjach od 0.7.1 do 0.11.6 nie ogranicza zapytań o blokady Git LFS do repozytorium, co pozwala uwierzytelnionym użytkownikom odczytywać metadane blokad z repozytoriów, do których nie mają dostępu. Atakujący z prawem zapisu do dowolnego repozytorium mogą globalnie wyliczać identyfikatory blokad, aby odzyskać ścieżki zablokowanych plików, nazwy użytkowników i znaczniki czasu blokad z prywatnych repozytoriów.

Halo do wersji 2.26.1 zawiera podatność na otwarte przekierowanie w anonimowym punkcie końcowym miniatur, który nie waliduje parametru zapytania uri. Atakujący mogą tworzyć złośliwe linki w zaufanej domenie Halo, które przekierowują odwiedzających na dowolne zewnętrzne strony, umożliwiając ataki phishingowe i nadużywanie relacji zaufania opartych na przekierowaniach.

IceHRM przed wersją 36.0.0 nie weryfikuje własności pracownika w siedmiu punktach końcowych REST, co pozwala uwierzytelnionym pracownikom odczytywać dane HR dowolnego kolegi. Atakujący mogą podstawiać dowolne identyfikatory pracowników w punktach końcowych umiejętności, edukacji, certyfikatów, języków, urlopów, obecności i statusu, aby uzyskać dostęp do wrażliwych danych osobowych.