Katalog podatności CVE

W autoryzatorze ACL Kroxylicious wykryto błąd. Logika dopasowywania prefiksów może zastosować regułę do podmiotu innego typu lub nie sprawdzić szerszej reguły dopasowania, gdy prefiksy się nakładają. W zależności od konfiguracji ACL może to pozwolić uwierzytelnionemu klientowi Kafki na dostęp do zasobu (np. odczyt tematu), który powinien być zabroniony.

W kompilacjach jądra Red Hat Enterprise Linux 9 wykryto błąd. Niekompletny backport poprawki CVE-2026-46099 w RHEL 9.6 do 9.10 pozostawił niezrównoważenie local_bh w seg6_input_core(), gdzie ścieżka odrzucenia zwraca z wciąż wyłączonymi dolnymi połówkami. Może to prowadzić do zagłodzenia softirq i odmowy usługi w systemach ze skonfigurowanymi tunelami SRv6. Upstream i RHEL 10 nie są dotknięte.

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa w wersjach do 1.5.5 włącznie jest podatna na przechowywane cross-site scripting poprzez parametr 'service_time' z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Wykorzystanie wymaga wyłączenia opcji 'Enable Checkout Service Fields' (konfiguracja niebędąca domyślną) przy jednoczesnym włączeniu 'Enable Pickup/Delivery Service'.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa w wersjach do 3.8.6 włącznie jest podatna na brak autoryzacji. Endpoint rejestracji klienta OAuth 2.1 (/wp-json/mcp/v1/oauth/register) jest zarejestrowany z permission_callback równym __return_true, co pozwala nieuwierzytelnionemu użytkownikowi zarejestrować aktywny klient OAuth z kontrolowanym przez atakującego redirect URI. Po zatwierdzeniu klienta przez administratora na ekranie zgody OAuth atakujący może uzyskać token dostępu MCP powiązany z administratorem i pełną kontrolę administracyjną; strona zgody nie ma nagłówków X-Frame-Options ani CSP frame-ancestors, co umożliwia clickjacking.

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez pole niestandardowe wpisu typu List. Wartość pola jest przekazywana do globalnej funkcji maybe_unserialize() bez ograniczeń zamiast do utwardzonej GFCommon::maybe_unserialize(), co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć obiekt PHP do metadanych wpisu. Jeśli w innym pluginie lub motywie istnieje łańcuch gadgetów, może to prowadzić do zdalnego wykonania kodu.

Wtyczka Content Egg dla WordPressa w wersjach do 12.0.0 włącznie nie weryfikuje poprawnie uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z rolą autora lub wyższą może tworzyć wpisy przypisane do konta innego użytkownika (zwykle administratora), podając należący do administratora preset_id.

Wtyczka Content Egg dla WordPressa w wersjach do 12.0.0 włącznie nie sprawdza uprawnień do konkretnego wpisu w funkcji ajaxUpdateProducts(). Uwierzytelniony atakujący z rolą współautora lub wyższą może modyfikować dane produktów Content Egg oraz metadane znacznika czasu aktualizacji na dowolnych wpisach, w tym należących do administratorów.

Wtyczka JoomSport dla WordPressa w wersjach do 5.7.14 włącznie jest podatna na wstrzyknięcie SQL przez parametr 'pgroup' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelniony atakujący z rolą współautora lub wyższą może dołączać dodatkowe zapytania SQL i wydobywać poufne informacje z bazy danych.

Wtyczka Events Made Easy dla WordPressa w wersjach do 3.3.1 włącznie jest podatna na przechowywany cross-site scripting przez parametr 'width' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Cool FormKit Lite dla Elementora w wersjach do 2.7.9 włącznie jest podatna na przechowywany DOM-based cross-site scripting przez parametr '_elementor_data.form_fields[].custom_id' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Page and Post Restriction dla WordPressa w wersjach do 1.6.1 włącznie jest podatna na obejście uwierzytelniania. Funkcja papr_restrict_page_post_rest_api() ponownie uwierzytelnia użytkownika na podstawie ciasteczka wordpress_logged_in bez weryfikacji nonce REST, co w połączeniu z permisywnym CORS REST pozwala nieuwierzytelnionemu atakującemu odczytywać odpowiedzi REST API jako zalogowana ofiara.

Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.

Wtyczka Fraud Prevention For WooCommerce and EDD dla WordPressa w wersjach przed 2.3.6 nie sprawdza, czy użytkownik ma uprawnienia do zarządzania zamówieniami, zanim pozwoli mu dodać dane klienta zamówienia do czarnej listy oszustw. Umożliwia to użytkownikom z rolą subskrybenta i wyższą blokowanie składania zamówień przez dowolnych legalnych klientów.

Wtyczka WordPress Joinchat przed wersją 6.4.2 nie escapuje komunikatu bloku przycisku przed wyświetleniem go w atrybucie HTML na stronie frontowej. Umożliwia to użytkownikom z rolą Author i wyższą przeprowadzanie ataków Stored Cross-Site Scripting wymierzonych w każdego odwiedzającego wpis, w tym administratorów.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzanie ataków SQL injection.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje danych śledzących pochodzących z publicznych żądań odwiedzających przed ich zapisaniem i wyświetleniem w panelu statystyk administracyjnych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy zalogowany administrator przegląda strony statystyk.

Wtyczka WordPress User Frontend przed wersją 4.3.14 nie sanityzuje ani nie escapuje niektórych wartości dostarczanych przez użytkownika przed odzwierciedleniem ich w atrybutach HTML w publicznie dostępnej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting. Dotknięta akcja jest chroniona nonce dla anonimowych użytkowników, który jest ważny tylko dla żądań niezalogowanych, więc ładunek wykonuje się wobec niezalogowanych odwiedzających, a nie uwierzytelnionych użytkowników.

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie ogranicza przeglądarki plików File System Watcher do Super Adminów ani do plików, które legalnie śledzi. Pozwala to administratorowi niebędącemu Super Adminem, w tym administratorowi podstrony w multisite WordPress, na odczyt zawartości wrażliwych śledzonych plików, takich jak główny plik konfiguracyjny, i ujawnienie kluczy uwierzytelniania, soli oraz, w standardowej instalacji, danych dostępowych do bazy danych.