Katalog podatności CVE

Wtyczka Library Management System dla WordPressa przed wersją 3.6.7 nie sanityzuje i nie escapuje parametru dostarczanego przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta wykonanie wstrzyknięcia SQL i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.

Wtyczka FoodBoxBooker dla WordPressa przed wersją 1.0.8 nie weryfikuje, czy konto użytkownika, które jest aktualizowane, należy do użytkownika wysyłającego żądanie. Umożliwia to uwierzytelnionym użytkownikom z dostępem co najmniej na poziomie Subskrybenta modyfikowanie danych profilu dowolnych użytkowników, w tym administratorów.

Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.

Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.

Wtyczka JetEngine do WordPressa przed wersją 3.8.13.1 nie dezynfekuje przesłanych plików SVG przed ich przechowywaniem i serwowaniem oraz nie ogranicza odpowiednio, kto może je przesyłać, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting).

Framework CubeWP do WordPressa do wersji 1.1.30 nie przeprowadza kontroli autoryzacji odczytu per obiekt ani nie ogranicza, które klucze metadanych mogą być żądane, na jednym z punktów końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na odczyt dowolnych metadanych postów (w tym postów innych użytkowników w wersjach roboczych, oczekujących, prywatnych i chronionych hasłem) oraz dowolnych metadanych użytkowników, w tym administratorów.

Wtyczka Accept PayPal & Stripe with Subscriptions for WooCommerce do WordPressa do wersji 3.1.0 nie weryfikuje, czy konto PayPal, które otrzymało płatność, odpowiada skonfigurowanemu kontu sprzedawcy przed oznaczeniem zamówienia jako opłaconego, co pozwala nieuwierzytelnionym kupującym na sfinalizowanie zamówienia WooCommerce poprzez zapłacenie pełnej kwoty na własne konto PayPal zamiast na konto sprzedawcy.

Wtyczka Saitama Addon Pack do WordPressa do wersji 1.0.8 nie dezynfekuje i nie escapuje niektórych wartości metadanych postów przed ich wyświetleniem, co pozwala użytkownikom z dostępem na poziomie contributora i wyżej na wstrzyknięcie trwałych ładunków Cross-Site Scripting, które wykonują się w przeglądarce użytkownika z wyższymi uprawnieniami, który przegląda treść.

Wtyczka Term Pages do WordPressa przed wersją 2.0.0 nieprawidłowo dezynfekuje i escapuje parametr przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.

Wtyczka Pinpoint Booking System dla WordPressa do wersji 2.9.9.7.1 nie waliduje ceny rezerwacji po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rezerwacji po dowolnej cenie (w tym zerowej) i, wybierając konkretną metodę płatności, uzyskanie natychmiast zatwierdzonej rezerwacji.

Wtyczka s2Member dla WordPressa przed wersją 260805 nie escapuje kilku atrybutów shortcode przed wypisaniem ich w kontekście skryptu inline, co pozwala użytkownikom z dostępem na poziomie contributora na wstrzyknięcie dowolnego JavaScriptu, który wykonuje się, gdy odwiedzający otworzy post (stored XSS).

Wtyczka Customer Reviews for WooCommerce dla WordPressa przed wersją 5.116.0 nie przeprowadza kontroli nonce ani uprawnień na kilku akcjach AJAX związanych z ustawieniami, co pozwala użytkownikom z minimalnymi uprawnieniami, takim jak Subscriber, na wywoływanie procedur ustawień administracyjnych, aktualizowanie opcji wtyczki oraz ujawnianie konfiguracji sklepu.

Wtyczka Podcast Player dla WordPressa przed wersją 8.3.1 nie weryfikuje miejsca docelowego żądania po stronie serwera zbudowanego z danych dostarczonych przez użytkownika, co pozwala nieuwierzytelnionym atakującym na zmuszenie serwera do wysyłania żądań do dowolnych hostów i odczytywania odpowiedzi, które są parsowane jako RSS/XML.

Wtyczka vitepos dla WordPressa przed wersją 3.6.0 nie sanityzuje ani nie parametryzuje identyfikatora pobieranego z treści żądania REST przed użyciem go w zapytaniu do bazy danych w jednym z endpointów raportów, co pozwala użytkownikom z dostępem na poziomie administratora na wykonanie wstrzyknięcia SQL.

Wtyczka Advanced Excerpt dla WordPressa przed wersją 4.5 nie sanityzuje i nie escapuje jednego ze swoich ustawień przed wypisaniem go na froncie strony, co może pozwolić administratorom (w tym tym bez uprawnienia unfiltered_html, np. w multisite) na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego odwiedzającego dotknięte strony.

Podatność w keras-team/keras w wersjach do 3.15.0 umożliwia atak typu Denial of Service (DoS) podczas ładowania złośliwych plików modeli .keras przez funkcję keras.models.load_model(). Metoda H5IOStore.__getitem__ w keras/src/saving/saving_lib.py nie waliduje kształtu ani rozmiaru zbiorów danych, co prowadzi do nieograniczonego przydziału pamięci. Specjalnie spreparowany plik .keras może wywołać warunek braku pamięci (OOM), powodując zakończenie procesu (kod wyjścia 137). Problem omija poprawkę dla CVE-2026-0897, która dotyczyła podobnej luki w KerasFileEditor. Wektor ataku obejmuje zatrute modele z publicznych repozytoriów lub złośliwych rejestrów modeli, co stanowi zagrożenie dla potoków uczenia maszynowego przetwarzających niezaufane modele.

W libexpat przed wersją 2.8.3 wykryto podatność na odczyt poza zakresem i wynikającą z tego nieskończoną pętlę, ponieważ niskie surogaty są traktowane tak samo jak wysokie podczas przetwarzania Unicode w funkcjach *_toUtf16.