CVE Vulnerability Catalog

WordPress Theme Zoner Real Estate version 4.1.1 contains a persistent cross-site scripting vulnerability that allows authenticated agents to inject malicious scripts through the Address input field when creating properties.

Joomla com_jsjobs w wersji 1.2.6 zawiera podatność na nieautoryzowane usuwanie plików, która pozwala uwierzytelnionym atakującym na usunięcie plików poprzez manipulację parametrami custom userfield. Atakujący mogą wysyłać żądania POST do zadania job.savejob z sekwencjami przejścia ścieżki w parametrze field_2, aby usunąć dowolne pliki dostępne dla serwera WWW.

GigToDo version 1.3 contains a persistent cross-site scripting (XSS) vulnerability that allows authenticated attackers to inject malicious JavaScript and HTML code through the proposal description field.

Live Chat Unlimited version 2.8.3 contains a stored cross-site scripting (XSS) vulnerability that allows unauthenticated attackers to inject malicious scripts through the chat input field. Attackers can submit payloads containing script tags and event handlers that execute in the admin area.

Wtyczka Contact Form by WD w wersji 1.13.1 zawiera podatność na atak typu cross-site request forgery (CSRF) połączoną z lokalnym dołączaniem plików. Umożliwia to nieautoryzowanym atakującym dołączanie dowolnych plików poprzez wykorzystanie niesanitizowanych parametrów akcji.

Zuz Music 2.1 contains a persistent cross-site scripting (XSS) vulnerability that allows unauthenticated attackers to inject malicious JavaScript by submitting crafted contact form data. Attackers can inject script code through the name, subject, and message parameters in POST requests to /gmusic/zuzconsole/___contact.

Wykryto podatność w keystonejs do wersji 20260319, która dotyczy nieznanego kodu w pliku output-field.ts w komponentach GraphQL API Endpoint. Manipulacja tą podatnością prowadzi do nadmiernego zużycia zasobów.

HCL iControl jest podatny na lukę związaną z słabą walidacją wejścia. Problem ten wynika z nieprawidłowej implementacji taktyki bezpieczeństwa architektonicznego, gdzie otrzymane dane wejściowe nie są poprawnie weryfikowane pod kątem oczekiwanego typu.

Podatność CVE-2026-49077 w wtyczce WP eMember umożliwia nieautoryzowanym użytkownikom dostęp do wrażliwych danych systemowych. Dotyczy to wersji od n/a do 10.2.2.

Podatność typu out-of-bounds write w bibliotece rlottie od Samsunga umożliwia przepełnienie buforów. Problem ten dotyczy wersji przed dcfde72eae1b0464dc0dd760aec00ada6a148635.

Fixed AES-128-CBC keys inside the AcerConnect OTA application allow attackers to forge authorization credentials for arbitrary IMEI numbers. This enables unauthorized actors to list catalog items and extract protected binaries from pre-signed cloud links.

The web administration panel is accessible on the public IPv6 address on port [::]:8080 without default firewall limits, allowing internal API endpoints to be reachable over the WAN.

In affected versions of Octopus Server, permissions were not checked correctly, allowing any authenticated user to make server-level changes via a specific API endpoint despite receiving an error.

W podatności CVE-2026-49510 występuje przepełnienie lub owinięcie liczb całkowitych w otwartym źródle rlottie firmy Samsung, co umożliwia ataki typu Integer. Problem dotyczy wersji rlottie przed 21292665023e5074b38254432716866d00f1985f.

W podatności CVE-2026-47320 występuje problem z dostępem do niezainicjowanego wskaźnika oraz niekontrolowana rekurencja w bibliotece rlottie od Samsunga, co umożliwia manipulację wskaźnikami oraz przetwarzanie zbyt dużych ładunków danych zserializowanych.

W podatności CVE-2026-47319 występuje problem z alokacją pamięci w bibliotece rlottie, który pozwala na nadmierną alokację pamięci z powodu zbyt dużej wartości rozmiaru. Dotyczy to wersji przed 0b4e308fa88c72cbb60cc8a2c1d2c2ad89b101dd.

Podatność typu przepełnienia bufora na stosie w bibliotece rlottie od Samsunga pozwala na przepełnienie buforów. Problem dotyczy wersji przed ce72b35a7ad0dded03051d3aa0ef75321c3bd035.

Podatność na niekontrolowaną rekurencję w bibliotece rlottie od Samsung Open Source pozwala na przetwarzanie zbyt dużych ładunków danych. Problem dotyczy wersji przed e2d19e3b150e0e4a9586fa90b56fd3061cc98945.

Podatność typu out-of-bounds read w bibliotece rlottie od Samsunga pozwala na odczytanie danych poza przydzielonym buforem. Problem dotyczy wersji przed 223a2a41ba4f462e4abe767bebba49a366c9b9fd.

Słaba logika walidacji w interfejsach API do rozłączania urządzeń pozwala zdalnemu podmiotowi na wymuszenie rozłączenia niezwiązanych punktów końcowych użytkowników, co prowadzi do poważnych problemów z dostępnością.