CVE Vulnerability Catalog

The vulnerability allows arbitrary file write via a Path Traversal attack, potentially leading to remote code execution in the SeppMail user interface. The issue affects the large file transfer (LFT) feature.

Podatność na obejście uwierzytelniania w module uwierzytelniania urządzenia. Skuteczne wykorzystanie tej podatności wpłynie na integralność i poufność danych.

Funkcja dns_unpack_name() buforuje miejsce na końcu bufora i ponownie je wykorzystuje podczas dodawania etykiet DNS. W miarę wzrostu bufora, rozmiar buforu staje się niepoprawny, co może prowadzić do zapisu po zakończeniu bufora.

Wtyczka Login with Salesforce dla WordPressa w wersji do 1.0.2 nie weryfikuje, czy użytkownicy mają prawo logować się przez Salesforce. Umożliwia to nieautoryzowanym użytkownikom uzyskanie dostępu jako dowolny użytkownik (np. administrator) jedynie na podstawie znajomości adresu e-mail.

Oprogramowanie układowe odbiornika satelitarnego IDC SFX2100 zawiera wiele plików konfiguracyjnych demonów, które są własnością roota, ale są dostępne do odczytu dla wszystkich. Pliki konfiguracyjne zawierają twardo zakodowane lub w inny sposób niebezpieczne hasła w postaci tekstu jawnego, w tym dane uwierzytelniające do trybu uprzywilejowanego.

W systemie WP Attractive Donations System - Easy Stripe & Paypal donations występuje podatność na SQL Injection, która pozwala na przeprowadzenie Blind SQL Injection. Problem ten dotyczy wersji od n/a do 1.25 włącznie.

Podatność CVE-2026-28114 dotyczy menedżera licencji WooCommerce, który pozwala na nieograniczone przesyłanie plików o niebezpiecznym typie. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2026-28105 dotyczy deserializacji niezaufanych danych w wtyczce ThemeREX Good Energy, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Good Energy od n/a do 1.7.7 włącznie.

Podatność na deserializację niezaufanych danych w ThemeREX Pizza House pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Pizza House od n/a do 1.4.0 włącznie.

Podatność CVE-2026-28043 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w motywie WordPress ThemeREX Healer - Doctor, Clinic & Medical. Problem ten dotyczy wersji motywu od n/a do 1.0.0.

W podatności CVE-2026-27984 występuje niewłaściwa kontrola generowania kodu, co pozwala na wstrzyknięcie kodu w widgecie Marketing Fire Widget Options. Problem dotyczy wersji Widget Options od n/a do 4.1.3 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w designthemes LMS Elementor Pro umożliwia eskalację uprawnień. Problem ten dotyczy wersji LMS Elementor Pro od n/a do 1.0.4 włącznie.

Podatność na deserializację niezaufanych danych w ThemeREX Dentario umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Dentario od n/a do 1.5 włącznie.

Podatność na deserializację niezaufanych danych w ThemeREX Kingler umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Kingler od n/a do 1.7 włącznie.

Podatność na deserializację niezaufanych danych w ThemeREX Tennis Club umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Tennis Club od n/a do 1.2.3 włącznie.

Podatność na deserializację niezaufanych danych w SeventhQueen Sweet Date umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Sweet Date od n/a do poniżej 4.0.1.

Podatność CVE-2026-27389 dotyczy dodatku WeDesignTech Ultimate Booking Addon, który pozwala na obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 1.0.1.

W podatności CVE-2026-27384 występuje niewłaściwa walidacja określonej ilości wprowadzonych danych w wtyczce BoldGrid W3 Total Cache, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji W3 Total Cache od n/a do 2.9.1 włącznie.

Podatność CVE-2026-24960 w Charety od zozothemes umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten dotyczy wersji Charety od n/a do poniżej 2.0.2.

Podatność CVE-2026-23802 w silniku AI Jordy Meow pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia wykorzystanie złośliwych plików. Problem dotyczy wersji AI Engine od n/a do 3.3.2 włącznie.