CVE Vulnerability Catalog

Wtyczka Registration & Login with Mobile Phone Number dla WooCommerce w WordPressie jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.3.1. Problem wynika z niewłaściwego weryfikowania tożsamości użytkowników przed ich uwierzytelnieniem przez funkcję fma_lwp_set_session_php_fun().

Wtyczka RegistrationMagic dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.0.7.1 włącznie. Problem wynika z funkcji 'add_menu', która jest dostępna przez akcję AJAX 'rm_user_exists', co pozwala na dowolne aktualizacje ustawienia 'admin_order'.

Podatność CVE-2026-23800 dotyczy niewłaściwego przypisania uprawnień w module Modular DS, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Modular DS od 2.5.2 do przed 2.6.0.

MCPJam inspector to platforma do lokalnego rozwoju dla serwerów MCP. Wersje 1.4.2 i wcześniejsze są podatne na zdalne wykonanie kodu (RCE), co pozwala atakującemu na wysłanie spreparowanego żądania HTTP, które uruchamia instalację serwera MCP, prowadząc do RCE.

WeGIA is a Web Manager for Charitable Institutions. Prior to 3.6.2, a Reflected Cross-Site Scripting (XSS) vulnerability was discovered in the WeGIA system, specifically within the html/memorando/insere_despacho.php file. The application fails to properly sanitize or encode user-supplied input via the id_memorando GET parameter before reflecting it into the HTML source (likely inside a <script> block or an attribute). This allows unauthenticated attackers to inject arbitrary JavaScript or HTML into the context of the user's browser session. This vulnerability is fixed in 3.6.2.

Omni Secure Files plugin versions prior to 0.1.14 contain an arbitrary file upload vulnerability in the bundled plupload example endpoint. The /wp-content/plugins/omni-secure-files/plupload/examples/upload.php handler allows unauthenticated uploads without enforcing safe file type restrictions, enabling an attacker to place attacker-controlled files under the plugin's uploads directory. This can lead to remote code execution if a server-executable file type is uploaded and subsequently accessed.

Dive to aplikacja desktopowa typu MCP Host, która umożliwia integrację z modelami LLM. W wersjach przed 0.13.0, złośliwy deeplink może zainstalować skonfigurowany przez atakującego serwer MCP bez wystarczającej potwierdzenia od użytkownika, co może prowadzić do wykonania dowolnych poleceń lokalnych na maszynie ofiary.

Livewire Filemanager, commonly used in Laravel applications, contains LivewireFilemanagerComponent.php, which does not perform file type and MIME validation, allowing for RCE through upload of a malicious php file that can then be executed via the /storage/ URL if a commonly performed setup process within Laravel applications has been completed.

Remote command injection vulnerability in heap profiler builtin service in Apache bRPC (all versions < 1.15.0) on all platforms allows attacker to inject remote command. Root Cause: The bRPC heap profiler built-in service (/pprof/heap) does not validate the user-provided extra_options parameter and executes it as a command-line argument. Attackers can execute remote commands using the extra_options parameter. Affected scenarios: Use the built-in bRPC heap profiler service to perform jemalloc memory profiling. How to Fix: we provide two methods, you can choose one of them: 1. Upgrade bRPC to version 1.15.0. 2. Apply this patch ( https://github.com/apache/brpc/pull/3101 ) manually.

Delta Electronics DIAView posiada wiele podatności, które mogą wpływać na bezpieczeństwo systemu. Wykorzystanie tych luk może prowadzić do nieautoryzowanego dostępu lub innych niepożądanych działań.

Delta Electronics DIAView posiada wiele podatności, które mogą wpływać na bezpieczeństwo systemu. Wykorzystanie tych luk może prowadzić do nieautoryzowanego dostępu lub innych zagrożeń.

The vulnerability, if exploited, could allow an unauthenticated miscreant to achieve remote code execution under OS system privileges of “taoimr” service, potentially resulting in complete compromise of the model application server.

Buffer overflow in XPS font parse processing on Small Office Multifunction Printers and Laser Printers(*) which may allow an attacker on the network segment to trigger the affected product being unresponsive or to execute arbitrary code. *: Satera LBP670C Series/Satera MF750C Series firmware v06.02 and earlier sold in Japan.Color imageCLASS LBP630C/Color imageCLASS MF650C Series/imageCLASS LBP230 Series/imageCLASS X LBP1238 II/imageCLASS MF450 Series/imageCLASS X MF1238 II/imageCLASS X MF1643i II/imageCLASS X MF1643iF II firmware v06.02 and earlier sold in US.i-SENSYS LBP630C Series/i-SENSYS MF650C Series/i-SENSYS LBP230 Series/1238P II/1238Pr II/i-SENSYS MF450 Series/i-SENSYS MF550 Series/1238i II/1238iF II/imageRUNNER 1643i II/imageRUNNER 1643iF II firmware v06.02 and earlier sold in Europe.

Buffer overflow vulnerability in Address Book attribute tag processing on small office multifunction printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

Buffer overflow vulnerability in XPS font fpgm data processing on small office multifunction printers and laser printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

Buffer overflow vulnerability in CPCA list processing on small office multifunction printers and laser printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

Invalid free vulnerability in CPCA file deletion processing on small office multifunction printers and laser printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

Buffer overflow vulnerability in XML processing of XPS files on small office multifunction printers and laser printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

Buffer overflow vulnerability in print job processing by WSD on small office multifunction printers and laser printers. An attacker on the network segment can cause the device to become unresponsive or execute arbitrary code.

GravCMS w wersji 1.10.7 zawiera podatność, która pozwala nieautoryzowanym atakującym na zapis dowolnych konfiguracji YAML oraz wykonanie kodu PHP poprzez punkt końcowy harmonogramu. Atakujący mogą wykorzystać parametr admin-nonce do wstrzykiwania ładunków zakodowanych w base64 i tworzenia złośliwych zadań z wykonaniem poleceń systemowych.