Katalog podatności CVE

W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.

W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.

W Progress® Kendo® UI for jQuery w wersjach od 2019.2.514 do wersji przed 2026.3.1015 komponent PanelBar wstawia wartości URL elementów źródła danych do atrybutu href w pojedynczych cudzysłowach bez właściwego kodowania. Atakujący kontrolujący URL elementu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym elementem.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty TabStrip, Menu i PanelBar wstawiają wartości imageUrl ze źródła danych do atrybutów src obrazu w pojedynczych cudzysłowach bez właściwego escapowania. Atakujący mogący zmodyfikować URL obrazu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas renderowania obrazu przez dotknięty komponent.

W Progress® Kendo® UI for jQuery od wydania R1 2020 do wersji przed 2026.3.1015 domyślny szablon elementu ListBox renderuje wartość dataTextField jako surowy HTML bez kodowania. Atakujący mogący modyfikować powiązane dane może dostarczyć HTML z obsługą zdarzeń wykonującą JavaScript w przeglądarce użytkownika. Podatność naprawiono w wersji 2026.3.1015.

Podatność typu niekompletna lista niedozwolonych danych wejściowych (CWE-184) w PeaZip 10.5.0–11.2.0 na Windows dotyczy potwierdzenia uruchomienia niebezpiecznych rozszerzeń w przeglądarce archiwów. Lista SECEXTCONST zawiera tylko siedem rozszerzeń (exe, cmd, msi, bat, ps1, vbs, reg), a sprawdzenie polega na dokładnym porównaniu ciągu znaków, przez co pomija inne typy plików wykonywanych przez ShellExecuteW, m.in. .url i .lnk. W efekcie otwarcie spreparowanego wpisu w archiwum może uruchomić program lub dowolne polecenie bez okna potwierdzenia.

W jądrze Linux rozwiązano podatność w stosie IPv4: jeśli pakiet z błędnymi metadanymi sumy kontrolnej trafi do stosu, funkcja skb_checksum_help może uszkodzić nagłówek sieciowy. Wprowadzono dodatkową walidację checksum_start przed ukończeniem sumy kontrolnej.

W jądrze Linux występuje podatność use-after-free w obsłudze opcji IPv4 dla gniazd TCP. Opcje ireq_opt są zwalniane zwykłym kfree(), mimo że inne wątki mogą ich jeszcze używać w ramach RCU (np. przy budowaniu SYNACK lub tworzeniu gniazda potomnego), co prowadzi do użycia zwolnionej pamięci w ip_options_build(). Problem dotyczy również migracji gniazd żądań (tcp_migrate_req).

Enterprise Architect jest podatny na wstrzyknięcie zewnętrznych encji XML (XXE) w funkcji XSLT Debugger. Gdy użytkownik wczyta spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego DTD, parser przetwarza zewnętrzne encje, umożliwiając atakującemu odczyt dowolnych plików z systemu ofiary. Z powodu nieudanych prób kontaktu z dostawcą podatność potwierdzono tylko w wersji 17.1, ale może dotyczyć również innych wersji.

Podatność w HPE NonStop SQL/MX UDR SERVER może pozwolić spreparowanej wiadomości na spowodowanie zakończenia procesu, zakłócenia usługi lub uszkodzenia pamięci, prowadząc do niezdefiniowanego zachowania.

W wersjach `api-gateway` do `1.7.3` domyślny resolver klucza limitu szybkości, `ClientIpKeyResolver`, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka żądania `X-Forwarded-For`. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem żadnej listy zaufanych proxy. Pojedynczy atakujący może więc uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na każdą unikalną wartość nagłówka — i całkowicie obejść ograniczanie szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.

W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości, ClientIpKeyResolver, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka X-Forwarded-For. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem listy zaufanych proxy. Pojedynczy atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na unikalną wartość nagłówka — i całkowicie obejść limit szybkości żądań na każdej trasie używającej domyślnej konfiguracji.

W wtyczce Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.29.13 występuje nieprawidłowe przypisanie uprawnień, które pozwala na eskalację uprawnień.

Podatność typu Cross-site Scripting (XSS) w wtyczce Social Share Buttons firmy maxfoundry (share-button) pozwala na przechowywane XSS. Podatność dotyczy Social Share Buttons w wersjach od n/a do 1.31.

W wtyczce Mang Board WP (mangboard) do wersji 2.4.4 występuje podatność SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w wtyczce Fluent CRM firmy WP ManageNinja LLC (fluent-crm) pozwala na eskalację uprawnień. Podatność dotyczy Fluent CRM w wersjach od n/a do 3.2.5.

Wtyczka User Registration (ThemeGrill) do WordPressa w wersjach do 5.2.8 zawiera błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.

Wtyczka Link Whisper Free do WordPressa w wersjach do 0.9.7 zawiera podatność deserializacji niezaufanych danych, która umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Problem występuje w mechanizmie przetwarzania danych wejściowych wtyczki.

Wtyczka Link Whisper Free w wersjach do 0.9.7 zawiera podatność typu Reflected XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.