CWE-289
Authentication Bypass by Alternate Name
Produkt wykonuje uwierzytelnianie na podstawie nazwy zasobu, do którego uzyskiwany jest dostęp, lub nazwy podmiotu wykonującego dostęp, ale nie sprawdza prawidłowo wszystkich możliwych nazw tego zasobu lub podmiotu. Może to pozwolić atakującemu na obejście kontroli bezpieczeństwa poprzez użycie alternatywnych nazw lub reprezentacji tego samego zasobu.
The product performs authentication based on the name of a resource being accessed, or the name of the actor performing the access, but it does not properly check all possible names for that resource or actor.
Wtyczka WooCommerce - Social Login dla WordPress w wersjach do 2.8.7 włącznie zawiera krytyczną podatność typu Authentication Bypass, pozwalającą nieuwierzytelnionemu atakującemu zalogować się jako dowolny użytkownik WordPress, w tym administrator. Podatność wynika z braku weryfikacji podpisu JWT tokena Apple oraz publicznego ujawnienia nonce wymaganego do inicjowania procesu logowania.
Wtyczka Eventer dla WordPress w wersjach do 4.4.2 włącznie przechowuje klucz resetowania hasła w postaci zwykłego tekstu w bazie danych, co umożliwia nieuwierzytelnionemu atakującemu przejęcie dowolnego konta użytkownika, w tym administratora. W połączeniu z podatnością SQL Injection (CVE-2026-9700) atak może być przeprowadzony w pełni zdalnie i bez żadnych uprawnień.
Plugin Elated Membership dla WordPress w wersjach do 1.2 włącznie zawiera krytyczną lukę Authentication Bypass umożliwiającą nieuwierzytelnionym atakującym zalogowanie się na konta administratorów. Podatność jest szczególnie niebezpieczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.
Podatność w oprogramowaniu układowym routera DTS Electronics Redline umożliwia atakującemu pominięcie mechanizmu uwierzytelnienia poprzez wykorzystanie alternatywnej nazwy. Podatność uzyskała ocenę krytyczną CVSS 9.8, co oznacza możliwość pełnego przejęcia kontroli nad urządzeniem bez znajomości jakichkolwiek danych logowania.
Podatność w funkcji TACACS+ AAA systemu Cisco Enterprise NFV Infrastructure Software (NFVIS) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie mechanizmu uwierzytelnienia i zalogowanie się na urządzenie z uprawnieniami administratora. Ze względu na brak wymaganej interakcji użytkownika i sieciowy wektor ataku, podatność stanowi krytyczne zagrożenie dla dostępności i integralności chronionych zasobów.
Podatność w Unraid 7.0.0 umożliwia zdalnym użytkownikom dostęp do panelu WebGUI oraz konsoli webowej z uprawnieniami root bez jakiegokolwiek uwierzytelnienia. Warunkiem wykorzystania jest uruchomienie kontenera w trybie sieciowym Host z włączoną opcją Use Tailscale.
W narzędziu DataEase (do wizualizacji danych) wykryto poważną lukę w mechanizmie uwierzytelnienia klasy TokenFilter, która umożliwia nieautoryzowany dostęp do chronionych zasobów. Podatność jest szczególnie groźna, gdyż nie wymaga żadnych uprawnień ani interakcji użytkownika.
Klasa JwtAccessTokenValidator w Apache CXF nie weryfikuje pola 'aud' (Audience) przychodzących tokenów dostępowych JWT. Umożliwia to atakującemu ponowne użycie tokenu wystawionego dla jednego serwera zasobów przeciwko innemu, co prowadzi do ataków typu Token Confusion lub Token Routing.
Podatność w modelu uprawnień Node.js umożliwia atakującemu obejście restrykcji `--allow-fs-read` i `--allow-fs-write` przy użyciu spreparowanych ścieżek względnych z dowiązaniami symbolicznymi. Skutkuje to możliwością odczytu i zapisu dowolnych plików poza dozwolonym katalogiem, co może prowadzić do kompromitacji systemu.
A vulnerability in the key-based SSH authentication feature of Cisco StarOS Software could allow an authenticated, remote attacker to elevate privileges on an affected device. This vulnerability is due to insufficient validation of user-supplied credentials. An attacker could exploit this vulnerability by sending a valid low-privileged SSH key to an affected device from a host that has an IP address that is configured as the source for a high-privileged user account. A successful exploit could allow the attacker to log in to the affected device through SSH as a high-privileged user. There are workarounds that address this vulnerability.
This vulnerability allows remote attackers to bypass authentication on vulnerable installations of NetGain Systems Enterprise Manager 7.2.699 build 1001. User interaction is required to exploit this vulnerability. The specific flaw exists within the MainFilter servlet. The issue results from the lack of proper string matching inside the doFilter method. An attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of Administrator. Was ZDI-CAN-5099.
Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios does not normalise IPv4-mapped IPv6 addresses. When NO_PROXY lists an IPv4 address such as 127.0.0.1 or 169.254.169.254, a request URL using the IPv4-mapped IPv6 form (::ffff:7f00:1, ::ffff:a9fe:a9fe) still routes through the configured proxy. Node.js resolves these addresses to the underlying IPv4 host, so the request reaches the internal service via the proxy rather than being blocked. This vulnerability is fixed in 0.32.0 and 1.16.0.
OpenClaw gateway plugin versions prior to 2026.2.26 contain a path traversal vulnerability that allows remote attackers to bypass route authentication checks by manipulating /api/channels paths with encoded dot-segment traversal sequences. Attackers can craft alternate paths using encoded traversal patterns to access protected plugin channel routes when handlers normalize the incoming path, circumventing security controls.
Podatność w module shiro-guice biblioteki Apache Shiro umożliwia ominięcie mechanizmu uwierzytelniania poprzez spreparowane żądanie HTTP. Błąd jest szczególnie groźny, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.
The Classified Listing - Mobile Number Verification plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.6.0. This is due to missing server-side Firebase OTP validation in the process_otp_login() function. This makes it possible for unauthenticated attackers to authenticate as any user with a phone number registered in the plugin's phone table by submitting an arbitrary OTP code and UID through the Firebase OTP login flow. Successful exploitation requires OTP login to be enabled with Firebase selected as the verification gateway, and requires the attacker to know or guess the target account's registered phone number. Administrator account takeover is possible if an administrator account has a phone number registered in the plugin.
Soft Serve is a self-hostable Git server for the command line. Versions 0.11.2 and below have a critical authentication bypass vulnerability that allows an attacker to impersonate any user (including admin) by "offering" the victim's public key during the SSH handshake before authenticating with their own valid key. This occurs because the user identity is stored in the session context during the "offer" phase and is not cleared if that specific authentication attempt fails. This issue has been fixed in version 0.11.3.
A vulnerability in Drupal Core allows Privilege Escalation.This issue affects Drupal Core: from 8.0.0 before 10.2.11, from 10.3.0 before 10.3.9, from 11.0.0 before 11.0.8.
Traefik is an HTTP reverse proxy and load balancer. Prior to 3.7.3, there is a critical vulnerability in Traefik's HTTP/3 (QUIC) TLS configuration selection that allows unauthenticated clients to bypass router-specific mTLS enforcement. When HTTP/3 is enabled on an entrypoint, the TLS handshake selects the applicable TLS configuration through an exact, case-sensitive lookup on the SNI value, which fails to match wildcard host patterns (e.g., *.example.com) or case variants of the configured hostname. Because the handshake falls back to the default TLS configuration — which may not require client certificates — a client can complete the QUIC handshake without presenting a certificate, while the subsequent HTTP routing layer still dispatches the request to a backend protected by a router-specific mTLS policy. The issue affects deployments where HTTP/3 is enabled, a router uses a wildcard Host rule or case-insensitive hostname matching, a router-specific TLSOptions enforces client certificate authentication, and UDP access to the entrypoint is reachable by an attacker. This vulnerability is fixed in 3.7.3.
Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.
(conda) Constructor is a tool that enables users to create installers for conda package collections. In versions 3.12.2 and below, the installation directory inherits permissions from its parent directory. Outside of restricted directories, the permissions are very permissive and often allow write access by authenticated users. Any logged in user can make modifications during the installation for both single-user and all-user installations. This constitutes a local attack vector if the installation is in a directory local users have access to. For single-user installations in a shared directory, these permissions persist after the installation. This issue is fixed in version 3.13.0.