Katalog podatności CVE

Wtyczka WordPress Chikkili- Google Pay India for Woocommerce do wersji 1.0.6 nie weryfikuje, czy powiadomienie o płatności pochodzi od dostawcy płatności, przed oznaczeniem zamówienia jako opłacone. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WordPress WPVR przed wersją 9.1.3 nieprawidłowo sprawdza uprawnienia użytkownika podczas tworzenia wycieczki przez kreator konfiguracji. Umożliwia to użytkownikom z rolą Contributor i wyższą tworzenie i publikowanie treści wycieczek oraz ustawianie dowolnych metadanych postów, których normalnie nie mogliby utworzyć ani opublikować.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo ustala, do której strony odnosi się żądanie uprawnień do strony. Umożliwia to użytkownikom z niestandardową rolą fundraisingową edycję, publikację i odczyt stron należących do innych użytkowników, w tym administratorów.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo oczyszcza i escapuje jedno z ustawień szablonu formularza donacji przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z niestandardową rolą edycji formularzy wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego lub administratora otwierającego dotknięty formularz.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nieprawidłowo waliduje nazwę pliku podaną przez użytkownika przed odczytem go z dysku. Umożliwia to użytkownikom z uprzywilejowaną rolą niestandardową przeprowadzenie path traversal, ujawnienie zawartości plików JSON w dowolnym miejscu serwera oraz nadpisanie konfiguracji wtyczki.

Wtyczka WordPress GiveWP w wersji przed 4.19.0.1 nie wykonuje żadnego sprawdzenia statusu ani uprawnień podczas renderowania formularza donacji na publicznej trasie front-endu. Umożliwia to nieuwierzytelnionym odwiedzającym przeglądanie treści i ustawień niepublikowanych formularzy donacji (szkiców, oczekujących, prywatnych i zaplanowanych), które WordPress domyślnie utrzymuje jako niepubliczne.

Wtyczka WordPress WP Stripe Checkout w wersji przed 1.2.2.62 nie weryfikuje podpisu webhooka Stripe, gdy nie skonfigurowano sekretu podpisywania, co jest stanem domyślnym. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia o zakończeniu płatności i utworzenie zrealizowanego zamówienia bez dokonania płatności.

W bibliotece pig-mesh pig do wersji 4.1.0 wykryto podatność typu SQL injection w funkcji orderItem.getColumn w pliku SqlFilterArgumentResolver.java. Manipulacja argumentami ascs/descs pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.

W phpIPAM do wersji 1.8.3 wykryto podatność w funkcji create_rack_link w pliku app/tools/racks/show-rack-popup.php (komponent Rack Link Creation). Manipulacja argumentem deviceid prowadzi do cross site scripting (XSS). Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.

W FaveoSuite Faveo Helpdesk do wersji 2.0.3 wykryto podatność w funkcjach UnAuthController.changeStatus, close, open i resolve w pliku app/Http/Controllers/Client/helpdesk/UnAuthController.php. Manipulacja argumentami id/status prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.

W produkcie Travisun Opptrix 0.4.0 wykryto podatność w funkcji Buffer.concat w pliku /api/channels/webhook/ w komponencie preParsing handler. Manipulacja danymi prowadzi do odmowy usługi, a atak można zainicjować zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka WpEvently (wersje do 5.7.8) firmy Magepeople inc. zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

BookStack przed wersją 26.09.2 zawiera podatność nieprawidłowej autoryzacji w AttachmentController, która pozwala uwierzytelnionym użytkownikom na dostęp do załączników wersji roboczych stron innych użytkowników po identyfikatorze. Atakujący z uprawnieniami do załączników mogą wyliczać sekwencyjne identyfikatory załączników, aby pobierać, zmieniać nazwy, ponownie podłączać lub zastępować pliki na niepublikowanych stronach roboczych innych użytkowników.

ONEARMY community-platform przed wersją 2.165.2 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom oznaczać powiadomienia innych użytkowników jako przeczytane poprzez POST /api/notifications/:id/read. Atakujący mogą iterować sekwencyjne identyfikatory powiadomień, aby wyłączyć wskaźniki nieprzeczytanych użytkowników w tej samej dzierżawie, powodując pominięcie odpowiedzi, komentarzy i powiadomień o nowych treściach.

Xiaozhi-esp32-server przed wersją 0.9.8 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w handlerze DeviceController.getAddressBook w manager-api, która pozwala uwierzytelnionym użytkownikom czytać książki adresowe urządzeń innych użytkowników. Atakujący z zwykłym lub samodzielnie zarejestrowanym kontem może wysłać żądanie /device/address-book/{macAddress} z adresem MAC urządzenia innego użytkownika, aby uzyskać adresy MAC kontaktów, aliasy, uprawnienia do połączeń i identyfikatory właścicieli.

yudao-cloud do wersji 2026.09 zawiera podatność niezabezpieczonego bezpośredniego odwołania do obiektu (IDOR) w module handlowym mall, która pozwala uwierzytelnionym członkom czytać dzienniki operacji posprzedażowych innych członków poprzez podanie dowolnych wartości afterSaleId. Atakujący mogą wyliczać sekwencyjne identyfikatory posprzedażowe wobec GET /app-api/trade/after-sale-log/list, aby ujawnić kwoty zwrotów, zmiany statusów i znaczniki czasu należące do innych członków.

RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.

DaybydayCRM do wersji 2.2.1 zawiera podatność polegającą na braku autoryzacji w metodzie ProjectsController::updateAssign(), która pozwala dowolnemu uwierzytelnionemu użytkownikowi na ponowne przypisanie projektów bez uprawnienia can-assign-new-user-to-project. Pracownicy o niskich uprawnieniach mogą wysyłać żądania PATCH lub POST do /projects/updateassign/{external_id} z wybranym user_assigned_id, aby przekierować własność projektu i powiadomienia.

Podatność IDOR w Cervantes w wersji v1.3-beta pozwala uwierzytelnionemu atakującemu na dostęp do wrażliwych ustaleń, szczegółów proof-of-concept, poświadczeń i informacji o klientach z projektów, do których nie należy. Dodatkowo atakujący może modyfikować statusy ustaleń i przenosić je do własnych projektów, naruszając poufność i integralność danych.