Katalog podatności CVE

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność Broken Access Control. Użytkownik z rolą Subscriber może wykonać akcje wykraczające poza przysługujące mu uprawnienia.

Wtyczka Passster w wersjach do 4.3.13 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Wtyczka Slim SEO w wersjach do 4.10.0 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Użytkownik z rolą Contributor może uzyskać dostęp do obiektów, do których nie ma uprawnień.

Wtyczka Simple Payment w wersjach do 2.5.4 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka Bold Page Builder w wersjach do 5.9.9 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka 10up ElasticPress w wersjach do 5.3.4 włącznie zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych. Może to pozwolić na odzyskanie osadzonych poufnych danych.

Wtyczka Deposits and Partial Payments for WooCommerce w wersjach do 3.1.0 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Linkstack w wersji 4.8.4 i wcześniejszych jest podatny na path traversal, co pozwala administratorowi na odczyt dowolnych plików na serwerze poprzez manipulację ścieżką pliku. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu do wrażliwych plików systemowych lub aplikacji.

Szablon strony internetowej firmy Arma Digital Media Inc. zawiera podatność polegającą na niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów. Może to pozwolić na wstrzyknięcie kodu. Problem dotyczy wersji do 11092026. Producent został powiadomiony, ale nie odpowiedział.

W bibliotece Amazon AWS SDK for Go v2 przed wydaniem release-2026-03-23 występuje nieobsłużony błąd panic w dekoderze nagłówka strumienia zdarzeń. Nieuwierzytelniony zdalny atakujący może zakończyć proces aplikacji konsumującej, wysyłając spreparowaną ramkę odpowiedzi strumienia zdarzeń z typem wartości nagłówka spoza prawidłowego zakresu.

W module tarfile języka Python, gdy rozpakowywany jest link w systemie, który nie obsługuje linków, następuje fallback do rozpakowania elementu z archiwum. W takim przypadku funkcja filtra jest uruchamiana dwukrotnie, a dla jednego z wywołań wartość zwracana jest ignorowana, co może prowadzić do nieprawidłowego rozpakowania elementu.

Chamilo LMS przed wersją 1.11.42 oraz 3.0.0 zawiera podatność typu stored cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwe skrypty do odpowiedzi ankiet poprzez obliczenie deterministycznych kodów zaproszeń i obejście kontroli autoryzacji w punkcie końcowym przesyłania ankiety. Złośliwe skrypty są renderowane w widokach raportowania i wykonują się w sesjach przeglądarki nauczycieli lub administratorów.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na brak autoryzacji w trasie aliasu bloku (Process::alias() w concrete/controllers/backend/block/process.php). Nie weryfikuje, czy przywoływany blok jest rzeczywiście osierocony na stronie docelowej, ani czy wywołujący ma jakiekolwiek uprawnienia do bloku źródłowego. Użytkownik z delegacją add_block_to_area ograniczoną do obszaru na własnej stronie może przekazać dowolny identyfikator bloku w witrynie, co powoduje skopiowanie zawartości bloku źródłowego do obszaru kontrolowanego przez atakującego, ujawnienie tej zawartości, a następnie wymuszone usunięcie oryginalnego bloku w tym samym żądaniu.

Concrete CMS w wersjach od 9.2.0 do 9.5.2 zawiera podatność braku autoryzacji w punkcie końcowym listy grup REST API. Metoda listGroups() w concrete/src/Api/Controller/Groups.php rejestruje funkcję sprawdzającą uprawnienia, która bezwarunkowo zwraca true, więc nie jest egzekwowana autoryzacja na poziomie obiektu (węzła drzewa) przy zwracaniu kolekcji grup. Uwierzytelniony użytkownik z tokenem API o zakresie groups:read może wywołać GET /ccm/api/1.0/groups i otrzymać wszystkie grupy w witrynie, niezależnie od uprawnień widoku.

W Smart E-Commerce od IdeaSoft Software Industry and Trade Inc. przed wersją 8.4.2.0 występuje podatność Reflected XSS spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Blok RSS Displayer w Concrete CMS w wersji poniżej 9.5.3 renderował tytuły elementów zdalnego kanału RSS bez escapowania HTML, co prowadzi do przechowywanego XSS. Atakujący kontrolujący tytuł w syndykowanym kanale mógł wykonać skrypt w kontekście witryny dla każdego odwiedzającego, w tym administratorów, bez posiadania konta w tej witrynie.

W bibliotece libtiff wykryto przepełnienie bufora sterty w narzędziu tiff2pdf, spowodowane błędem obcięcia liczby całkowitej podczas przetwarzania spreparowanych plików BigTIFF. 64-bitowa wartość StripByteCounts jest obcinana do 32 bitów, co prowadzi do zbyt małej alokacji pamięci i kopiowania poza granice bufora, skutkując awarią i poważnym uszkodzeniem pamięci.

W Concrete CMS w wersjach od 9.2.0 do 9.5.2 endpoint listy Express REST API ujawnia zastrzeżone wpisy Express z powodu braku autoryzacji — sprawdzanie uprawnień do wyświetlania poszczególnych wpisów zostało wyłączone. Token OAuth z zakresem odczytu dla encji Express mógł wyliczać wpisy, do których kontekst użytkownika nie miał uprawnień, ujawniając publiczny identyfikator, URL, etykietę, daty oraz dane atrybutów lub powiązanych wpisów.

Nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML w RemoteQueryCachePlugin w AWS Advanced JDBC Wrapper w wersjach od 3.3.0 do 4.2.0 może pozwolić podmiotowi z dostępem zapisu do współdzielonej infrastruktury pamięci podręcznej na ujawnienie poufnych plików z hostów aplikacji odczytujących wyniki zapytań z pamięci podręcznej, w tym przechowywanych poświadczeń bazy danych i ról IAM, poprzez spreparowane dane XML w wartości kolumny pamięci podręcznej.

Podatność braku autoryzacji w TUBITAK BILGEM Software Technologies Research Institute Pardus About pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy Pardus About od wersji 1.2.1 przed 1.2.5.