Katalog podatności CVE

Platforma e-commerce firmy Dayneks Software Industry and Trade Inc. ma podatność Reflected XSS spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej. Podatność dotyczy wersji do 28082026. Producent został poinformowany, ale nie odpowiedział.

Wtyczka Everest Forms dla WordPressa jest podatna na podrabianie żądań po stronie serwera (SSRF) we wszystkich wersjach do 3.4.4 włącznie. Metoda load_previous_field_value() akceptuje dowolne adresy URL z danych $_POST dla pól uploadu bez ograniczeń domeny, które są następnie przekazywane do wp_remote_head(). Umożliwia to nieuwierzytelnionym atakującym zmuszenie serwera WordPress do wysyłania wychodzących żądań HTTP HEAD do dowolnych adresów URL.

W CodeChecker ścieżka przetwarzania massStoreRun wykonuje jednorazową dekompresję danych zlib kontrolowanych przez atakującego, zakodowanych w Base64, bez narzucania maksymalnego rozmiaru po dekompresji. Uwierzytelniony użytkownik z uprawnieniami do przechowywania przebiegów analizy może przesłać mocno skompresowany ładunek, który rozwija się do znacznie większej sekwencji bajtów. Cała zdekompresowana zawartość jest materializowana w pamięci przed zapisem do pliku tymczasowego, co może wyczerpać pamięć procesu lub hosta i zużyć znaczną ilość miejsca na dysku, powodując denial of service.

Wada niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w oprogramowaniu E-Commerce Pack firmy Akilli Ticaret Software Technologies Ltd. umożliwia Stored XSS. Problem dotyczy wersji od 4.5.001 do przed 4.6.001.

Wtyczka Envira Gallery dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) przez pole konfiguracyjne 'description' galerii we wszystkich wersjach do 1.12.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi stronę z galerią z włączonym opisem.

Moduł xipblog w wersji v2.0.1 i wcześniejszych dla PrestaShop pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie dowolnego JavaScriptu poprzez parametry name i content w ajax.php. Dane wejściowe są przechowywane w bazie danych bez sanityzacji HTML i renderowane w szablonach Smarty bez escapowania wyjścia, co prowadzi do trwałego XSS. Gdy administrator przegląda komentarze w panelu administracyjnym, payload wykonuje się z kontekstem sesji administratora, prowadząc do pełnego przejęcia sklepu.

Podatność na Cross Site Scripting w Omeka S v.4.2.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcję niestandardowego URL w nawigacji strony.

Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.

SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.

SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.

SvelteKit przed wersją 2.69.1 nie waliduje poprawnie rozmiarów ładunków w zdalnych funkcjach formularzy, co pozwala atakującym na awarię procesu Node przez wysyłanie dużych ładunków. Wielokrotne wykorzystanie powoduje denial of service przez ciągłe awarie procesu aplikacji.

gitoxide w wersjach od 0.25.4 zawiera podatność na wyciek poświadczeń HTTP w backendzie transportowym opartym na curl, gdzie poświadczenia są wysyłane do serwerów kontrolowanych przez atakującego po przekierowaniach HTTP. Podatność występuje, ponieważ walidacja poświadczeń sprawdza oryginalny URL zamiast efektywnego URL po przekierowaniu, co pozwala atakującym na kradzież tokenów uwierzytelniających przez przekierowania między domenami lub degradację HTTPS do HTTP.

gitoxide gix-packetline przed wersją 0.21.5 zawiera podatność na panikę w implementacji TextRef, która występuje podczas przetwarzania pakietów side-band z pustymi ładunkami. Złośliwy serwer Git może wysłać spreparowany pakiet side-band, aby wywołać panikę z powodu indeksu poza zakresem, co powoduje przerwanie procesu klienta podczas operacji fetch bez uwierzytelnienia.

Podatność w gix-worktree-state przed wersją 0.33.0 (część gitoxide) umożliwia zapisywanie plików poza katalogiem roboczym w systemie Windows. Funkcja checkout() podąża za istniejącym terminalnym dowiązaniem symbolicznym podczas przyrostowej materializacji, co pozwala nadpisać pliki poza katalogiem roboczym.

filebrowser do wersji 2.63.23 nie waliduje nazwanych potoków w archiwach katalogów i publicznych handlerach pobierania, co pozwala atakującym na wywołanie blokujących wywołań systemowych open. Uwierzytelnieni użytkownicy lub anonimowi goście z publicznymi linkami mogą wielokrotnie żądać archiwów zawierających nazwane potoki, co powoduje zablokowanie gorutyn serwera i wyczerpanie zasobów połączeń.

SiYuan przed wersją v3.8.1 zawiera podatność na path traversal w narzędziu MCP asset.upload, które akceptuje dowolne bezwzględne ścieżki plików bez walidacji granic workspace. Atakujący może nakłonić agenta AI do przesłania wrażliwych plików, takich jak klucze SSH lub dane uwierzytelniające, spoza workspace do katalogu zasobów poprzez wstrzyknięcie promptu.

Wykryto podatność w iswalle getnote-mcp do wersji 1.5.0. Funkcja fs.readFileSync w pliku src/index.ts komponentu upload_image jest podatna na path traversal poprzez manipulację argumentem image_path. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Aktualizacja do wersji 1.5.1 naprawia problem.

Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.

WWBN AVideo do wersji 30.0 (oraz master do commita 4cb576e) zawiera podatność na cross-site request forgery w plugin/Live/myLiveControls.save.json.php. Endpoint sprawdza tylko, czy użytkownik jest zalogowany, i przetwarza parametry customUrl, customMessage i autoRedirect z $_REQUEST przez żądanie GET bez wymuszania tokena CSRF lub sprawdzania pochodzenia. Atakujący, który zwabi zalogowanego streamera na złośliwą stronę, może po cichu zmienić ustawienia przekierowania widzów kanału na żywo, co spowoduje przekierowanie widzów na phishingową stronę lub wyświetlenie sfałszowanej wiadomości.

WWBN AVideo do wersji 30.0 nie egzekwuje uwierzytelniania na endpointach report4.json.php i report4.1.json.php, co pozwala nieuwierzytelnionym użytkownikom na dostęp do statystyk rejestracji użytkowników. Atakujący mogą wysyłać żądania GET do tych endpointów, aby uzyskać dzienne i skumulowane liczby rejestracji bez sesji lub autoryzacji.