Katalog podatności CVE

Podatność w nanocoai NanoClaw do wersji 2.0.64 dotyczy funkcji handleCreateAgent w pliku src/modules/agent-to-agent/create-agent.ts w komponencie Child-Agent Creation, co prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W komponencie SAML broker w Keycloak, gdy skonfigurowano przepływ IdP-Initiated, nie jest egzekwowany warunek OneTimeUse w asercjach SAML. Pozwala to atakującemu, który przechwyci ważną, nieużywaną asercję, na jej wielokrotne odtworzenie, co może prowadzić do przejęcia sesji użytkownika.

Wtyczka Slider, Gallery, and Carousel by MetaSlider dla WordPressa do wersji 3.111.0 jest podatna na Stored Cross-Site Scripting przez ustawienie 'delay' w meta danych, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie custom i wyżej mogą wstrzykiwać skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Child Pages Card dla WordPressa przed wersją 1.09 nie sanityzuje i nie escapuje niektórych atrybutów shortcode'u przed ich wyświetleniem na stronie, co pozwala użytkownikom z rolą współautora i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.4 nie usuwa poufnych wartości konfiguracyjnych przed ich ujawnieniem w danych skryptu inline na stronie administracyjnej, co pozwala użytkownikom z rolą edytora na odczytanie przechowywanych kluczy API i tokenów uwierzytelniających w postaci jawnego tekstu, mimo że te sekrety są ograniczone do administratorów w innych miejscach.

Wtyczka Slick Slider dla WordPressa przed wersją 0.5.3 nie sanityzuje i nie escapuje wartości atrybutu shortcode'u przed wyświetleniem jej w atrybucie HTML, co pozwala użytkownikom z rolą współautora i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się, gdy użytkownik przegląda dotknięty wpis.

Wtyczka ProfileGrid dla WordPressa przed wersją 6.0.0.0 nie przeprowadza kontroli autoryzacji przed zwróceniem listy członków grupy i rejestruje handler dla nieuwierzytelnionych użytkowników, co pozwala każdemu nieuwierzytelnionemu odwiedzającemu na ujawnienie członków i ich identyfikatorów dowolnej grupy, w tym prywatnych lub zamkniętych, z pominięciem ustawienia widoczności członków wtyczki.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.32 nie odpowiednio sanityzuje wartości pochodzącej z importowanego pliku CSV przed użyciem jej w zapytaniu SQL. Użytkownicy z rolą Edytora i wyższą (w tym niestandardowe role zarządzania sklepem) mogą przeprowadzać ataki SQL injection.

Wtyczka Estatik Real Estate Plugin dla WordPressa przed wersją 4.3.3 nie odpowiednio egzekwuje kontroli antyspamowej ani nie ogranicza routingu odbiorców formularza zapytania o nieruchomość. Pozwala to nieuwierzytelnionym użytkownikom wysyłać e-maile do dowolnych odbiorców z dowolnym tematem, treścią i nagłówkiem Reply-To, wykorzystując witrynę jako serwer przekazujący do spamu lub phishingu.

Wtyczka PeproDev WooCommerce Receipt Uploader dla WordPressa do wersji 2.8.0 nie weryfikuje, czy żądany załącznik należy do zamówienia wskazanego przez token dostępu. Pozwala to nieuwierzytelnionym atakującym sfałszować token i ujawnić załączniki graficzne, w tym przesłane przez innych klientów potwierdzenia płatności, do których nie mają praw.

Wtyczka PeproDev WooCommerce Receipt Uploader dla WordPressa (slug: pepro-bacs-receipt-upload-for-woocommerce) w wersjach do 2.8.0 włącznie jest podatna na brak autoryzacji / IDOR write (nieuwierzytelniony zapis). Wymaga WooCommerce.

Wtyczka tourmaster dla WordPressa przed wersją 5.4.9 zapisuje eksport zamówień/rezerwacji do stałego, przewidywalnego pliku w publicznie dostępnym katalogu bez kontroli dostępu. Pozwala to nieuwierzytelnionym użytkownikom pobrać wyeksportowane dane osobowe klientów po wykonaniu eksportu przez administratora.

Wtyczka Google Authenticator dla WordPressa przed wersją 0.56 nie weryfikuje nonce CSRF podczas zapisywania konfiguracji dwuskładnikowego uwierzytelniania. Pozwala to atakującym nakłonić zalogowanego użytkownika do nadpisania własnego sekretu 2FA wartością kontrolowaną przez atakującego, co umożliwia włączenie dwuskładnikowego uwierzytelniania i zablokowanie ofiary w jej koncie.

Wtyczka SEO Redirection Plugin dla WordPressa przed wersją 9.19 nie przeprowadza kontroli uprawnień w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, takiemu jak subskrybent, na odczyt skonfigurowanych reguł przekierowań 301, w tym ich adresów źródłowych i docelowych.

Wtyczka EONSR AEO Agent dla WordPressa do wersji 3.7.9 nie przeprowadza żadnej kontroli autoryzacji na jednej z tras API REST i wyłącza sanityzację HTML przed zapisaniem wpisu. Pozwala to nieuwierzytelnionym atakującym tworzyć opublikowane wpisy przypisane administratorowi, zawierające dowolne skrypty webowe, które wykonują się w przeglądarce każdego odwiedzającego, w tym administratorów (Stored XSS).

Wtyczka Nexter Blocks dla WordPressa przed wersją 5.0.2 nie sanityzuje przesyłanych plików SVG i zezwala na przesyłanie SVG każdemu użytkownikowi, który może przesyłać pliki (domyślnie Autor). Pozwala to na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się przy dostępie do pliku, prowadząc do Stored Cross-Site Scripting.

Podatność w cosmicstack-labs mercury-agent do wersji 1.1.12 dotyczy funkcji SubAgent.run w pliku src/core/sub-agent.ts w komponencie delegate_task Tool, co prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Podatność w cosmicstack-labs mercury-agent do wersji 1.1.12 dotyczy funkcji Agent.handleBgCommand w pliku src/core/agent.ts w komponencie bg Command Handler, co prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Wykryto podatność w cosmicstack-labs mercury-agent do wersji 1.1.12, dotyczącą funkcji PermissionManager.checkShellCommand w pliku src/capabilities/permissions.ts w komponencie run_command Handler. Manipulacja prowadzi do nieprawidłowego przypisania uprawnień. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność w netease-youdao LobsterAI 2026.6.10, dotyczącą funkcji parseMediaTokensFromText w pliku src/renderer/services/artifactParser.ts w komponencie MEDIA Path Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.