CVE Vulnerability Catalog

Podatność CWE-20 w MolotovCherry Android-ImageMagick7 dotyczy wersji przed 7.1.2-11. Problem ten może prowadzić do nieprawidłowego przetwarzania danych wejściowych.

Out-of-bounds Read vulnerability in the RetroDebugger slider, affecting versions before v0.64.72.

Out-of-bounds Read vulnerability exists in fabiangreffrath woof before version woof_15.3.0. This may lead to unauthorized memory read.

An Out-of-bounds Write vulnerability in proton (base/poco/Foundation/src modules) associated with the inflate.C file. This issue affects proton before version 1.6.16.

A Code Injection vulnerability in perf-ninja (labs/misc/pgo/lua modules) associated with the ldo.C file. This issue affects perf-ninja.

Wtyczka WP DSGVO Tools (GDPR) dla WordPressa jest podatna na nieautoryzowane usuwanie kont we wszystkich wersjach do i włącznie z 3.1.38. Problem wynika z akcji AJAX `super-unsubscribe`, która akceptuje parametr `process_now` od nieautoryzowanych użytkowników, omijając proces potwierdzenia e-mailem i natychmiastowo wywołując nieodwracalną anonimizację konta.

An Out-of-bounds Read vulnerability in Notepad3 (scintilla/oniguruma/src modules) associated with the regcomp.C file. This issue affects Notepad3 before version 6.25.714.1.

CVE-2026-4739 involves an integer overflow or wraparound vulnerability in the Expat module in ITK before version 2.7.1. This may lead to unexpected application behavior.

An Improper Restriction of Operations within the Bounds of a Memory Buffer vulnerability in gdal (frmts/zlib/contrib/infback9 modules) associated with the inftree9.C file. This issue affects gdal before version 3.11.0.

An Improper Restriction of Operations within the Bounds of a Memory Buffer vulnerability in modizer (libs/libopenmpt/openmpt-trunk/include/premake/contrib/curl/lib modules) associated with the imap.C file. This issue affects modizer before version v4.3.

Wtyczka Woocommerce Custom Product Addons Pro dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 5.4.1 włącznie. Problem wynika z niewystarczającej sanitizacji i walidacji wartości pól przesyłanych przez użytkowników przed ich przekazaniem do funkcji eval() w PHP.

Graphiti to framework, który udostępnia modele za pomocą interfejsu zgodnego z JSON:API. W wersjach przed 1.10.2 występuje podatność na wykonanie dowolnej metody, która wpływa na funkcjonalność zapisu JSONAPI, umożliwiając atakującemu wywołanie publicznych metod na instancjach modeli.

A path traversal vulnerability in the Tekton Pipelines git resolver via the `pathInRepo` parameter allows tenants with `ResolutionRequests` creation permissions to read arbitrary files from the resolver pod's filesystem, including ServiceAccount tokens.

In Active Storage (Ruby on Rails) prior to versions 8.1.2.1, 8.0.4.1 and 7.2.3.1, DiskService#delete_prefixed passes blob keys directly to Dir.glob without escaping glob metacharacters. If a blob key contains attacker-controlled input or glob metacharacters, unintended files may be deleted from the storage directory.

A path traversal vulnerability in Active Storage's `DiskService#path_for` allows arbitrary file access if blob keys contain `../` sequences. Attackers can read, write, or delete files outside the storage root.

A critical remote code execution (RCE) vulnerability in PTC Windchill and PTC FlexPLM, exploitable through deserialization of untrusted data. Affects the listed versions of Windchill PDMLink and FlexPLM.

OpenClaw przed wersją 2026.3.7 zawiera podatność na niewłaściwą walidację nagłówków w funkcji fetchWithSsrFGuard, która przekazuje niestandardowe nagłówki autoryzacji przez przekierowania między różnymi źródłami. Atakujący mogą wywołać przekierowania do innych źródeł, aby przechwycić wrażliwe nagłówki, takie jak X-Api-Key i Private-Token, przeznaczone dla oryginalnego celu.

Census CSWeb w wersji 8.0.1 umożliwia dostęp do katalogu 'app/config' przez HTTP w niektórych wdrożeniach. Zdalny, nieautoryzowany atakujący może wysyłać żądania do plików konfiguracyjnych i uzyskać wyciekłe sekrety.

Mantis Bug Tracker (MantisBT) w wersjach przed 2.28.1, działających na bazach danych rodziny MySQL, ma podatność na obejście uwierzytelniania w API SOAP z powodu niewłaściwego sprawdzania typu parametru hasła. Atakujący, znając nazwę użytkownika ofiary, może zalogować się do API SOAP bez znajomości hasła i wykonać dowolną funkcję API, do której ma dostęp.