Katalog podatności CVE

Numer CVE-2026-109213 został odrzucony i nie powinien być używany. Jest to duplikat rezerwacji numeru CVE-2026-113499, do którego należy się odwoływać. Wszystkie opisy i referencje tego kandydata zostały usunięte, aby zapobiec przypadkowemu użyciu.

Wtyczka YITH WooCommerce Product Add-Ons w wersjach do 4.34.0 zawiera podatność umożliwiającą nieuwierzytelnione obejście zabezpieczeń. Opis nie precyzuje mechanizmu, ale wskazuje na lukę typu bypass dostępną bez logowania.

Wtyczka Ad Inserter w wersjach do 2.8.19 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Booktics firmy Arraytics w wersjach do 1.0.31 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wszystkich wersji od początku do 1.0.31.

Wtyczka Meow Gallery dla WordPressa jest podatna na przechowywany cross-site scripting poprzez tekst alternatywny załącznika (atrybut aria-label) we wszystkich wersjach do 5.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Forminator Forms dla WordPressa w wersjach do 1.57.3.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'previous_draft_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może usuwać dowolne zapisane szkice innych użytkowników i przejmować ich identyfikatory, nadpisując je własnymi zgłoszeniami formularzy.

Wtyczka ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce dla WordPressa w wersjach do 1.17.10 włącznie jest podatna na przechowywany cross-site scripting poprzez treść przychodzącej wiadomości e-mail z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Podatność w bibliotece GNU C Library (glibc) w wersji 2.0 i późniejszych dotyczy funkcji gettext, które akceptują wpisy zmiennej środowiskowej LANGUAGE zawierające '/' lub równe '..'. Pozwala to atakującemu na załadowanie spreparowanego pliku katalogu komunikatów (.mo) z dowolnej lokalizacji w systemie plików, co może doprowadzić do awarii programu lub wykonania dowolnego kodu z uprawnieniami programu. Podatność nie jest objęta wcześniejszą poprawką CVE-2014-0475, która dotyczyła innych zmiennych środowiskowych.

Wtyczka NextGEN Gallery dla WordPressa w wersjach do 4.4.1 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję legacy_render. Wynika to z błędnej autoryzacji na endpoincie Lightroom gallery_edit w połączeniu z mass assignment ścieżki galerii i nieograniczonym przesyłaniem plików do katalogu szablonów, gdzie sprawdzanie rozszerzeń akceptuje oczyszczone nazwy .php_.

W przeglądarce Microsoft Edge (opartej na Chromium) występuje nieprawidłowa autoryzacja, która pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.

Wtyczka Meow Gallery dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 5.5.4 włącznie, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wyliczyć i odczytać metadane prywatnych i roboczych wpisów, w tym identyfikator, tytuł, datę, autora i status.

LM Studio przed wersją 0.4.22+1 zawiera podatność path traversal w resolveDownloadRequest modułu pobierania modeli, pozwalającą atakującym zapisywać pliki poza katalogiem modeli przy użyciu nazw z traversalem rozdzielonym backslashem. Atakujący może nakłonić użytkowników do pobrania spreparowanego repozytorium modelu, które umieszcza manifest.json wtyczki, install-state.json i mcp-bridge-config.json, uruchamiając dostarczony przez atakującego payload Pythona przy każdym starcie.

Flowise do wersji 3.1.4 włącznie zawiera podatność ucieczki z sandboxa, pozwalającą uwierzytelnionym użytkownikom na wykonywanie poleceń systemowych poprzez nadużycie dozwolonych modułów langchain i mammoth, gdy ALLOW_BUILTIN_DEP=true. Atakujący może przesłać JavaScript do /api/v1/node-custom-function, który zapisuje plik w pakiecie mammoth poprzez LocalFileStore i wymusza jego załadowanie, uciekając z vm2 jako użytkownik procesu Flowise.

W parserze H.266/VVC w gst-plugins-bad GStreamera występuje luka. Podczas przetwarzania złośliwego pliku lub strumienia H.266 przepełnienie liczb całkowitych przy parsowaniu pól profile, tier i level może prowadzić do przepełnienia bufora na stosie.

Mythic w wersjach od 3.2.16 do 3.4.0.61 zawiera lukę przechowywanego cross-site scripting, która pozwala atakującym kontrolującym pliki docelowego punktu końcowego na uruchomienie JavaScriptu w kontekście interfejsu Mythic poprzez umieszczenie HTML w plikach o nazwie .pdf. Gdy operator pobierze plik i kliknie Podgląd mediów, zawartość HTML jest renderowana w tej samej domenie, co pozwala na kradzież tokenów JWT z localStorage i uzyskanie pełnego dostępu do GraphQL i REST.

changelog.com przed commitem 7b35e829 zawiera lukę braku autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt niepublikowanych treści poprzez trasy podglądu w PostController, NewsIssueController i NewsItemController. Atakujący mogą wyliczać identyfikatory hashid wpisów, sekwencyjne slugi newsletterów i całkowite identyfikatory newsów, aby odczytać robocze wpisy, niewysłane newslettery i odrzucone elementy newsów.

Axigen Mail Server przed wersjami 10.5.69, 10.6.x przed 10.6.40 i 10.7.x przed 10.7.2 zawiera nieuwierzytelnioną podatność typu denial of service spowodowaną nieograniczoną głębokością zagnieżdżenia przy parsowaniu ciał żądań SOAP/XML i JSON przed uwierzytelnieniem. Atakujący może wysłać pojedyncze głęboko zagnieżdżone żądanie do listenerów WebMail, WebAdmin lub WebMail Proxy, aby wyczerpać stos i wielokrotnie doprowadzić do awarii usług SMTP, IMAP, POP3 i web.

Axigen Mail Server WebMail przed wersjami 10.6.39 i 10.7.1 zawiera lukę przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie skryptu poprzez nieescapowane nazwy wyświetlane nadawcy w widoku konwersacji. Atakujący może wysłać e-mail z HTML i skryptem w nazwie wyświetlanej pola From, który wykona się, gdy odbiorca otworzy folder, umożliwiając kradzież zawartości skrzynki lub przekierowanie.

sniproxy do wersji 0.7.0 włącznie zawiera podatność dereferencji wskaźnika NULL w resolv_cancel(), pozwalającą zdalnym nieuwierzytelnionym atakującym na doprowadzenie do awarii demona poprzez wysłanie zbyt długich nazw hostów. Atakujący może wysłać nazwę SNI TLS lub nagłówek Host HTTP o długości 254 lub 255 znaków pasujący do backendu wildcard, a następnie zamknąć połączenie, aby zakończyć proxy.

W systemie cak-filemanagement-system wykryto podatność w funkcji move_uploaded_file w pliku admin/add_logs.php. Manipulacja argumentem File umożliwia nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.