Katalog podatności CVE

W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.

Podatność w bibliotece cowlib umożliwia nieuwierzytelnionemu zdalnemu atakującemu wyczerpanie pamięci serwera lub klienta poprzez wysłanie specjalnie spreparowanych ramek HTTP/2 lub HTTP/3. Problem wynika z braku ograniczeń w dekoderze HPACK i QPACK, który przetwarza dowolnie długie prefiksowane liczby całkowite, powodując alokację dużych obiektów bignum i intensywną pracę garbage collectora.

Wtyczka Web Directory Free dla WordPressa w wersjach do 1.7.13 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'levels'. Brak odpowiedniego oczyszczania danych wejściowych i przygotowania zapytań SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka Eazy Plugin Manager dla WordPressa w wersjach do 4.4.1 włącznie zawiera podatność na eskalację uprawnień. AJAX handler `wp_ajax_pos_get_option` nie sprawdza uprawnień, a endpoint REST `admin/login` jest publicznie dostępny i uwierzytelnia na podstawie hasha wartości przechowywanych w opcjach. Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta może odczytać opcje `eazywp_connecting_info` i `eazywp_connection`, obliczyć klucz uwierzytelniający i uzyskać ciasteczka administratora, przejmując witrynę. Wymaga to wcześniejszego skonfigurowania funkcji zdalnego połączenia.

Wtyczka PickPlugins Question Answer dla WordPressa w wersjach do 1.2.73 włącznie jest podatna na iniekcję SQL przez parametr GET 'id' w szablonie profilu użytkownika. Funkcja qa_user_profile_card() używa wp_unslash(), co usuwa ochronę magic quotes, a następnie bezpośrednio łączy dane z zapytaniem SQL bez odpowiedniego oczyszczania. Pozwala to nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL i wyodrębnianie wrażliwych danych z bazy.

Urządzenia ELECOM (routery i punkty dostępowe WiFi) zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji przywracania ustawień. Osoba atakująca, która może zalogować się do urządzenia, może wykorzystać tę podatność do wykonania dowolnego polecenia systemowego.

Urządzenia ELECOM (routery i punkty dostępowe WiFi) zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w interfejsie WebUI. Osoba atakująca, która może zalogować się do urządzenia, może wykorzystać tę podatność do wykonania dowolnego polecenia systemowego.

Wtyczka Bookly dla WordPress (do wersji 27.5 włącznie) jest podatna na czasową iniekcję SQL przez parametr 'staff_ids'. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Wymagana jest sekwencja dwóch żądań, a brak walidacji CSRF/nonce umożliwia atak cross-site.

Z powodu nieprawidłowej kolejności działań, niskouprzywilejowany zdalny atakujący może wywołać niespójny stan konta poprzez spreparowane dane wejściowe i nadpisać istniejące hasła użytkowników, co może skutkować całkowitą niedostępnością administracyjną urządzenia.

Niskouprzywilejowany zdalny atakujący może uzyskać uprawnienia administratora z powodu braku autoryzacji przy wstawianiu do tabeli konfiguracji, co prowadzi do pełnego dostępu do systemu.

Niskouprzywilejowany zdalny atakujący może dokonywać uprzywilejowanych zmian konfiguracji zarezerwowanych dla administratora, w tym zarządzania uprawnieniami, z powodu nieprawidłowej autoryzacji.

Wtyczka TrueBooker dla WordPress (do wersji 1.2.2 włącznie) jest podatna na ogólną iniekcję SQL przez parametr 'alldata[truebooker_user]'. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy. Nonce jest ujawniony niezalogowanym użytkownikom, a exploit wymaga obecności określonych pól rezerwacji.

Wtyczka Premium Packages dla WordPress (do wersji 6.2.0 włącznie) jest podatna na iniekcję SQL przez parametr 'code' w endpoint REST API /wp-json/wpdmpp/v1/cart/coupon. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy, z powodu braku odpowiedniego przygotowania zapytania.

Wtyczka WP Fast Total Search dla WordPress (do wersji 1.80.280 włącznie) jest podatna na ogólną iniekcję SQL przez parametr 'form_data[s]'. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy.

Wtyczka Better Messages dla WordPressa do wersji 2.15.19 zawiera podatność na usuwanie dowolnych plików w funkcji delete_sticker. Uwierzytelniony atakujący z uprawnieniami administratora może usunąć dowolny plik na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Tablesome Table dla WordPressa przed wersją 1.1.31 nie przeprowadza żadnej autoryzacji, weryfikacji uprawnień ani sprawdzania nonce w jednej z akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie nowych opublikowanych postów oraz nadpisywanie dowolnych istniejących postów i stron.

Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Demi dla WordPressa do wersji 0.0.7 przechowuje klucz HMAC i token przywracania w publicznie dostępnym podkatalogu uploads. Nieuwierzytelniony atakujący może odczytać klucz i sfałszować żądanie do AJAX handlera demi_restore_step, co pozwala na rekurencyjne usuwanie dowolnych katalogów.

Biblioteka zip-lib przed wersją 1.1.0 jest podatna na Directory Traversal przez mechanizm buforowania walidacji ścieżki podczas ekstrakcji. Atakujący może ominąć zabezpieczenia, ponieważ funkcja isOutsideTargetFolder sprawdza ścieżkę tylko przy pierwszym utworzeniu dowiązania symbolicznego.

Podatność Broken Access Control w wtyczce Xendit Payment dla WordPressa w wersjach do 7.1.0. Nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp.