Katalog podatności CVE

ELADMIN (eladmin-mp) do wersji 2.7 zawiera podatność niewłaściwej kontroli dostępu w module zarządzania rolami. Endpoint PUT /api/roles/menu autoryzuje żądanie jedynie przez porównanie poziomu roli docelowej z minimalnym poziomem wywołującego, nie walidując przyznawanego zestawu menu ani nie blokując modyfikacji własnej roli. Zalogowany użytkownik niebędący administratorem z uprawnieniem roles:edit może przesłać własne id roli wraz z dowolną listą id menu.

W domyślnej konfiguracji listener HL7 akceptuje komunikaty scalania pacjentów ADT^A40 bez uwierzytelniania aplikacji wysyłającej. Zdalny nadawca może przepisać badania i powiązane rekordy workflow z jednej tożsamości pacjenta na inną, a funkcja unmerge archiwum nie odwraca tej operacji.

W domyślnej konfiguracji archiwum akceptuje asocjacje DICOM od niezarejestrowanego AE wywołującego. Zdalny peer może użyć C-FIND i C-GET do wyliczenia i pobrania informacji o pacjentach oraz obrazów medycznych, a także C-STORE do zapisania sfabrykowanej zawartości badania pod istniejącą tożsamością pacjenta.

MP4Parser nie waliduje wystarczająco rozmiarów boxów MP4. Zniekształcony box może spowodować, że parsowanie nie poczyni postępu i będzie wielokrotnie przetwarzać te same dane wejściowe.

MultipartInputStream wykonuje nieefektywne dopasowywanie granic i niepotrzebne kopiowanie buforów. Spreparowane dane wejściowe multipart mogą wymusić nadmierne porównania granic i powtarzane kopiowanie.

W InstantForum.NET w wersji 4.1.4 (InstantASP ltd) występuje podatność Cross Site Scripting. Atakujący może wykonać dowolny kod, odzwierciedlając nieoczyszczone dane z parametrów query string bezpośrednio w odpowiedzi HTML bez prawidłowego kodowania wyjścia.

Atakujący może spowodować, że serwer odłączy urządzenie docelowe od jego obecnego właściciela i ponownie przypisze je do konta żądającego, niezależnie od tego, czy urządzenie jest obecnie przypisane do innego konta. Pozwala to atakującemu uzyskać pełny identyfikator seryjny urządzenia.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwały cross-site scripting (Stored XSS) poprzez treść komentarzy, wynikający z nadania roli Customer uprawnienia unfiltered_html oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność dotyczy wszystkich wersji do 3.0.1 włącznie i wymaga aktywnego WooCommerce, ale ponieważ rola klienta jest dostępna w ramach swobodnej samodzielnej rejestracji, wykorzystanie jest możliwe przez każdego niezalogowanego użytkownika, który utworzy konto. Złośliwy ładunek jest zwracany bez sanityzacji przez nieuwierzytelniony endpoint REST /wp-json/wp/v2/comments oraz kanały RSS komentarzy, co naraża klientów headless, czytniki RSS i widżety firm trzecich.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.

Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.

CVE zostało odrzucone. Identyfikator zarezerwowano dla zgłoszonego problemu w wtyczce WordPress PDF Invoices & Packing Slips for WooCommerce, ale nigdy nie opublikowano. W wyniku walidacji uznano, że zgłoszone zachowanie nie jest podatnością, ponieważ rola Shop Manager mogąca wywołać narzędzie masowego usuwania i przenumerowywania faktur posiada już równoważne uprawnienia, więc nie przekracza granicy uprawnień.

Wtyczka aThemeArt Theme Helper zawiera podatność Cross-Site Request Forgery (CSRF). Podatność występuje w wersjach od n/a do 1.0.8.

Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.

Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.

Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.

Nieprawidłowa kontrola dostępu w haśle kontaktu zasobu w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu ogólne uprawnienie Edit, ale bez uprawnienia Edit asset, na modyfikację hasła kontaktu zasobu poprzez spreparowane bezpośrednie żądanie do endpointu partial-save.

Atakujący może użyć zakodowanych na stałe poświadczeń, aby zalogować się do urządzeń EseeCloud.

Endpoint ujawnia obserwowalną rozbieżność odpowiedzi podczas przetwarzania wartości ID. Żądanie z nieistniejącym ID zwraca inny kod błędu niż żądanie z prawidłowym, zarejestrowanym ID, co pozwala atakującemu posiadającemu ważny token dostępu – bez dalszej autoryzacji – odróżnić prawidłowe wartości ID od całej 10-cyfrowej przestrzeni numerycznej. W połączeniu z brakiem istotnego ograniczania liczby żądań stanowi to wyrocznię enumeracji, umożliwiającą masowe odkrywanie zarejestrowanych urządzeń.

W Apache Kylin występuje podatność typu Code Injection — specjalny parametr w JDBC URL może prowadzić do wstrzyknięcia kodu. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej, co jest rzadkie; wdrożenia wewnętrzne w większości nie są zagrożone.

W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.