Katalog podatności CVE

Wtyczka WordPress MAIO przed wersją 7.3.22 nieprawidłowo ogranicza dostęp do swoich danych analitycznych, traktując wartość poświadczenia dostarczoną dosłownie w swoim publicznym kodzie źródłowym jako prawidłowy klucz API. Pozwala to nieuwierzytelnionym atakującym na pobranie przechowywanego dziennika analityki crawlowania, w tym adresu IP, agenta użytkownika i referera każdego zarejestrowanego odwiedzającego.

Wtyczka WordPress WP Sessions Time Monitoring Full Automatic jest podatna na trwałe skryptowanie krzyżowe (Stored XSS) poprzez parametr 'action' (a także function, plugin, post_type, post_status, ids, loggedout oraz POST post_title) we wszystkich wersjach do 1.1.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W spice-server wykryto błąd w ścieżce przywracania słownika kodera GLZ, gdzie rozmiar alokacji typu size_t jest obcinany do int przy wywołaniu funkcji zwrotnej malloc. Uwierzytelniony złośliwy klient SPICE podczas migracji maszyny wirtualnej na żywo może wywołać ogromne przepełnienie bufora sterty, wysyłając spreparowaną wartość max_encoders w danych migracji.

W Rdiffweb występuje niewłaściwe zarządzanie uprawnieniami w punkcie końcowym API zarządzania użytkownikami (/api/users/{username_or_id}). Uwierzytelnieni użytkownicy mogą podnieść swoje uprawnienia do administratora, modyfikując parametr roli w żądaniu POST.

W ikus060 rdiffweb 7.1.1 występuje nieprawidłowe sprawdzanie zawierania ścieżek, które pozwala uwierzytelnionemu użytkownikowi na wykonywanie operacji przeglądania, przywracania, historii i usuwania na ścieżce poza repozytorium, za pomocą sekwencji przejścia zakodowanej procentowo (%2e%2e) w ścieżce żądania. Problem wynika z tego, że sprawdzanie zawierania używa porównania prefiksu ciągu (startswith) zamiast sprawdzania granicy ścieżki systemu plików. Cel musi być ścieżką sąsiednią, której nazwa zaczyna się od ścieżki repozytorium, a użytkownik musi mieć do niej uprawnienia.

Wtyczka GoSMTP Pro dla WordPressa jest podatna na przechowywane Cross-Site Scripting poprzez treść komentarza w treści dziennika e-mail we wszystkich wersjach do 1.2.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W Checkmk w wersjach <2.5.0p15, <2.4.0p38, <2.3.0p51 oraz 2.2.0 (EOL) występuje niewłaściwa walidacja parametru reset_url w wyszukiwaniu w Setup. Umożliwia to atakującemu wykonanie dowolnego skryptu w sesji uwierzytelnionego użytkownika z dostępem do Setup lub przekierowanie go na dowolną zewnętrzną stronę poprzez nakłonienie do otwarcia spreparowanego adresu URL i kliknięcia przycisku Reset lub wysłania pustego wyszukiwania.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.191 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'post_content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to posiadania opublikowanego wpisu, ale edycje już opublikowanego wpisu omijają ponowną moderację i pozostają aktywne natychmiast.

Wtyczka Events Made Easy dla WordPressa (wersje do 3.2.22 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'event[location_name]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy administrator witryny włączy zarówno funkcję zgłaszania wydarzeń przez gości (eme_fs[guest_submit]), jak i wymuszone tworzenie lokalizacji (eme_fs[force_location_creation]), które domyślnie są wyłączone.

NordVPN dla Windows pozwala lokalnym atakującym na zatrzymywanie niechronionych usług systemowych Windows i zmianę ich typu uruchamiania na Ręczny poprzez nazwane potoki. Aplikacja NordVPN w trybie użytkownika pozwala atakującemu o niskich uprawnieniach na działanie jako zaufany proces i połączenie z nazwanym potokiem "\\.\pipe\nord-security\v1\NordVpnService\Server". Atakujący może następnie wywołać metody "ISettingsGrpc.StopService" i "ISettingsGrpc.ChangeServiceStartType" z dowolną nazwą usługi, co prowadzi do odmowy usługi krytycznych usług systemowych. Usługi chronione przez Windows (procesy PPL, Windows Tamper Protection), takie jak Windows Defender, nie mogą być zatrzymane ani rekonfigurowane. Problem został naprawiony w wersji 8.12.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.1.0 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr display_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga istnienia rekordu zgody prawnej dla konta atakującego, co powoduje pojawienie się przycisku View Logs w kolumnie Consent Logs w wp-admin/users.php.

Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'src_by' we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym lub uwierzytelnionym użytkownikom z dowolną rolą POS dołączenie dodatkowych zapytań SQL w celu wydobycia poufnych informacji z bazy danych.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność związana z aktywnym kodem debugowania, która pozwala na wykorzystanie interfejsów nieprodukcyjnych. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność polegająca na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W produkcie Ikas E-Commerce Infrastructure firmy IKAS Technology Inc. występuje podatność polegająca na rozbieżności w odpowiedziach serwera, co umożliwia fingerprinting kont. Problem dotyczy wersji do 2026-07-13 włącznie.

W oprogramowaniu TSG Profleet wykryto podatność na wstrzyknięcie SQL. Atakujący może odczytywać, tworzyć, modyfikować i usuwać dane z bazy danych, wysyłając żądanie GET z parametrem 'Identificación' do endpointu '/cgi-bin/index.php'.

Wtyczka DoubleScale | All-in-One CRM dla WordPressa w wersjach do 1.5.1 włącznie jest podatna na dowolne przesyłanie plików poprzez funkcję store_upload. Błąd wynika z fail-open listy dozwolonych rozszerzeń w extension_is_allowed(), która zwraca true dla nierozpoznanych rozszerzeń takich jak .php, w połączeniu z wykrywaniem MIME tylko po magicznych bajtach i brakiem sprawdzania uprawnień poza is_user_logged_in().

Wtyczka SureCart dla WordPressa w wersjach do 4.9.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Name Directory dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'dir' shortcode'u we wszystkich wersjach do 1.34.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka WP User Avatar / ProfilePress dla WordPressa jest podatna na dowolne wykonanie shortcode'ów w wersjach do 4.17.5 włącznie. Funkcja get_user_profile_structure() składa bufor profilu front-end, w tym surowe fragmenty komentarzy, i przekazuje cały bufor do do_shortcode() po jedynie wąskiej neutralizacji, co pozwala uwierzytelnionemu atakującemu z uprawnieniami subskrybenta wstrzyknąć dowolne shortcode'y z atakującymi atrybutami poprzez komentarz.