Katalog podatności CVE

Aplikacja EasyImage (do wersji 2.8.7) zawiera podatność w nieznanej funkcji pliku app/del.php, polegającą na niewłaściwym zarządzaniu uprawnieniami. Manipulacja argumentem hash może prowadzić do eskalacji uprawnień.

W bibliotece GNOME libgsf do wersji 1.14.60 wykryto podatność w funkcji ole_info_read_metabat w pliku gsf/gsf-infile-msole.c, w komponencie parsera OLE2. Manipulacja danymi prowadzi do przepełnienia bufora na stercie. Atak można zainicjować zdalnie.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie ogranicza waluty darowizny do tej akceptowanej przez witrynę lub formularz, a limity kwot porównuje jako zwykłe liczby. Umożliwia to nieuwierzytelnionym użytkownikom dokonywanie darowizn poniżej skonfigurowanego minimum lub stałej kwoty formularza.

Wtyczka WordPress Mintpay for WooCommerce do wersji 2.2.3 nie weryfikuje autentyczności przetwarzanego wywołania zwrotnego płatności. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłacone, anulowanie dowolnych zamówień oraz ujawnienie szczegółów zamówień, w tym danych kontaktowych klientów.

Wtyczka WordPress OPay Payment Gateway for WooCommerce do wersji 2.5.5 nie weryfikuje poprawnie, czy powiadomienia o płatności pochodzą od dostawcy płatności, ponieważ sekret używany do walidacji podpisu jest domyślnie pusty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie ważnego powiadomienia i oznaczenie dowolnych zamówień jako opłacone, anulowane lub nieudane.

Wtyczka WordPress Online Payments with iK Pay Gateway przed wersją 3.0.4 nie weryfikuje poprawnie autentyczności wywołania zwrotnego bramki płatności w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie pomyślnego powiadomienia o płatności i oznaczenie dowolnych zamówień jako opłacone bez dokonania płatności oraz oznaczenie dowolnych nieprzetworzonych zamówień jako nieudane.

Wtyczka WordPress Eurobank WooCommerce Payment Gateway do wersji 2.1.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a domyślnie wysyłana jest z pustym sekretem uwierzytelniającym. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnego oczekującego zamówienia jako opłacone oraz wymuszenie statusu niepowodzenia bez znajomości sekretu.

Wtyczka WordPress Payment Gateway do wersji 2.2.0 nie zapewnia skonfigurowania wspólnego sekretu przed użyciem go do uwierzytelnienia wywołania zwrotnego powiadomienia o płatności banku. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie ważnego powiadomienia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone w instalacjach bez ustawionego sekretu, a to samo wywołanie zwrotne pozwala przenieść dowolne oczekujące zamówienie do stanu nieudanego niezależnie od konfiguracji sekretu.

Wtyczka WordPress CCAvenue Payment Gateway for WooCommerce do wersji 3.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a klucz weryfikacyjny wyprowadza z wartości pustej w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone bez dokonania płatności.

W NocoDB do wersji 2026.07.0 funkcja UserRefreshToken.deleteAllUserToken w pliku /auth/user/signup, powiązana z komponentem PublicApiLimiterGuard, pozwala na niekontrolowane przydzielanie zasobów. Brak limitowania żądań na nieuwierzytelnionych endpointach rejestracji i resetowania hasła umożliwia zdalne wywołanie ataku o wysokiej złożoności. Producent uznaje obejście limitera za zamierzony projekt i usunął zgłoszenie bez wyjaśnienia.

W NocoDB do wersji 2026.08.0 wykryto podatność w nieokreślonej części pliku users.service.ts w komponencie przepływu resetowania hasła. Manipulacja prowadzi do sytuacji wyścigu (race condition), którą można wykorzystać zdalnie. Producent usunął zgłoszenie z GitHuba bez wyjaśnienia i nie odpowiedział na kontakt w sprawie ujawnienia.

W Z.ai Zcode do wersji 3.14.3/3.15.1 wykryto podatność w nieokreślonej funkcjonalności komponentu filtra poleceń Sed. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego (OS command injection), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie GouGuOA do wersji 6.1.2 wykryto lukę w funkcji chunkUpload w pliku app/disk/controller/Api.php. Manipulacja argumentem file_extension prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W 2K Games Civilization V 1.0.3.144 wykryto podatność w funkcji loadstring komponentu Lua Sandbox, prowadzącą do pomylenia typów (type confusion). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Dostawca nie odpowiedział na zgłoszenie.

W continuedev Continue 2.0.0 wykryto podatność w funkcji MCPManagerSingleton.setConnections w pliku core/config/ConfigHandler.ts komponentu MCP Server Transport, prowadzącą do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Dostawca nie odpowiedział na zgłoszenie.

W openbq-org OpenBB do wersji 4.7.2/5.0.0 wykryto podatność w pliku openbb_platform/core/openbb_core/app/model/api_settings.py komponentu Local API Server, powodującą nieprawidłową kontrolę dostępu. Zdalne wykorzystanie ataku jest możliwe, a exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.

W wtyczce Datafeedr Product Sets do wersji 1.3.24 na WordPressie wykryto podatność w funkcji dfrps_ajax_delete_saved_search w pliku functions/ajax.php komponentu AJAX Handlers, wynikającą z braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być użyty. Aktualizacja do wersji 1.3.25 rozwiązuje problem.

W bibliotece Sony Neural Network Libraries do wersji 1.39.0 wykryto lukę w funkcji func_set_nnabla_version_decorate w pliku python/src/nnabla/utils/converter/utils.py (komponent NNP Converter). Manipulacja argumentem function.type prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W Sony Neural Network Libraries do wersji 1.39.0 wykryto lukę w funkcji load_param_in_txt w pliku python/src/nnabla/utils/cli/encode_decode_param.py (komponent Encode Param Command Handler). Manipulacja danymi prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W QuantGeekDev docker-mcp w wersjach 0.1.0 i 0.2.0 wykryto lukę w funkcji _build_windows_command w pliku docker_executor.py. Manipulacja argumentem project_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można zainicjować zdalnie.