Katalog podatności CVE

Wtyczka Ultimate Dashboard Pro dla WordPressa (wersje do 3.11.2) zawiera podatność DOM-Based XSS (Cross-site Scripting). Oznacza to, że atakujący może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce użytkownika, co może prowadzić do kradzieży danych lub przejęcia sesji.

Podatność PHP Object Injection w OptionTree w wersjach do 2.7.3, wymagająca uprawnień edytora. Atakujący może wstrzyknąć zserializowane obiekty PHP, co może prowadzić do wykonania dowolnego kodu.

Podatność na odmowę usługi w bibliotece Expat do wersji 2.8.3. Funkcja storeAtts() w xmlparse.c ma złożoność kwadratową, co przy przetwarzaniu dokumentu XML z wieloma atrybutami o nieznormalizowanych wartościach prowadzi do nadmiernego zużycia CPU.

Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.

Podatność w sterowniku Watchdog Timer firmy Dell w wersjach przed 2.0.0.1. Ujawniony IOCTL z niewystarczającą kontrolą dostępu pozwala użytkownikowi z niskimi uprawnieniami na eskalację uprawnień.

Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.

Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.

Oh My Zsh, framework do zarządzania konfiguracją Zsh, ma podatność w pluginie dotenv. Po zmianie katalogu na folder zawierający plik .env, zawartość tego pliku jest wykonywana jako polecenia powłoki z uprawnieniami bieżącego użytkownika, nawet bez monitu, gdy ZSH_DOTENV_PROMPT=false lub po domyślnym potwierdzeniu. Problem został naprawiony w wersjach wydanych po 2026-05-28.

goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.

SSH.NET, biblioteka SSH dla .NET, ma podatność w ScpClient.Download, która ufa nazwom plików i katalogów zwracanym przez zdalny serwer SCP. Złośliwy lub przejęty serwer może użyć sekwencji ../ lub ścieżek bezwzględnych do tworzenia lub nadpisywania plików w dowolnym miejscu zapisywalnym przez proces klienta. Problem naprawiono w wersji 2026.0.0.

Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.

OttoKit w wersjach do 1.1.35 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.

BP Better Messages w wersjach do 2.15.22 zawiera podatność Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Ezoic w wersjach do 2.22.11 zawiera podatność Broken Authentication bez uwierzytelnienia. Atakujący może obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.

PDF Smart Viewer for Elementor w wersjach do 1.0.4 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

Wtyczka Online Contact Widget w wersjach do 1.3.0 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji, które powinny być chronione.

ArcSearch dla iOS w wersjach przed 1.48.0 może utrzymywać ukryty pasek adresu po przewinięciu inicjowanym przez stronę, co pozwala treści kontrolowanej przez atakującego na imitowanie elementów interfejsu przeglądarki i zwiększa ryzyko spoofingu.

BetterDesk, rozwiązanie do zdalnego zarządzania pulpitem, w wersjach do 2.3.0 nieprawidłowo unieważnia tożsamości usuniętych urządzeń, co pozwala nieuwierzytelnionemu klientowi na powtórzenie lub sfałszowanie identyfikatora urządzenia i ominięcie kontroli rejestracji. Wersja 3.0.0-alpha zawiera poprawkę. Nie są znane żadne obejścia.

Bramka płatnicza Duitku w wersjach do 2.11.14 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Osoba atakująca bez logowania może uzyskać dostęp do poufnych informacji.