Katalog podatności CVE

Wtyczka WP Discussion Board ma podatność Cross-site Scripting (XSS) typu stored wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 2.6.0 włącznie.

Topluyo Desktop dla Linuksa przed wersją 2026.9.2410 niebezpiecznie przetwarza URL-e kontrolowane przez użytkownika, co prowadzi do wstrzyknięcia poleceń systemowych przez funkcję openExternalLinks() w utils.js. Atakujący kontrolujący docelowy URL może wykonać dowolne polecenia systemowe z uprawnieniami użytkownika aplikacji po otwarciu linku. Wersja 2026.9.2410 naprawia problem.

W wtyczce SliceWP autorstwa iova.mihai występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 1.2.13 włącznie.

W wtyczce GetPaid firmy Stiofan występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 2.8.62 włącznie.

Wtyczka DXP ToolKit firmy Crowd Favorite zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 2.0.1.

W wtyczce DXP ToolKit firmy Crowd Favorite występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 2.0.1 włącznie.

W wtyczce eCommerce Product Catalog firmy impleCode występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca odbity XSS. Problem dotyczy wersji od nieznanej do 3.6.4 włącznie.

W wtyczce Unlimited Elements For Elementor firmy Unlimited Elements występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca odbity XSS. Problem dotyczy wersji od nieznanej do 2.0.24 włącznie.

W wtyczce Contact Form by Supsystic firmy Supsystic występuje podatność polegająca na umieszczaniu poufnych informacji w wysyłanych danych, umożliwiająca odczytanie osadzonych poufnych danych. Problem dotyczy wersji od nieznanej do 1.10.5 włącznie.

Wtyczka BuddyPress do WordPressa zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Problem występuje w wersjach do 14.5.2 włącznie.

Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.

Dell iDRAC Service Module (iSM) dla Windows, Linux i ESXi w wersjach przed 6.1.1.0 zawiera podatność niewłaściwej kontroli generowania kodu (wstrzyknięcie kodu). Wysoko uprzywilejowany atakujący z dostępem lokalnym może wykorzystać tę podatność do eskalacji uprawnień.

Axel Download Accelerator w wersji 2.17.14 i wcześniejszych wykonuje dekodowanie procentowe URL (http_decode()) na nazwie pliku wyjściowego po przeanalizowaniu URL i wyodrębnieniu komponentu nazwy pliku. Pozwala to atakującemu na osadzenie sekwencji %2e%2e%2f (zakodowane ../) w ścieżce URL, które po zdekodowaniu stają się sekwencjami przejścia katalogowego, umożliwiając zapis pobranej zawartości do dowolnych ścieżek w systemie plików.

Parametr ei_git_repo_url w punkcie końcowym konfiguracji zdalnego repozytorium Git w KaliFast jest podatny na wstrzyknięcie poleceń systemowych. Uwierzytelniony atakujący może wykonać dowolne polecenia z uprawnieniami www-data. Podatność naprawiono w wersji 2026061802.

Wtyczka WordPress My auctions allegro (my-auctions-allegro-free-edition) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem występuje w wersjach do 4.0.3 włącznie.

Usługa che-machine-exec konstruuje polecenie powłoki, łącząc dane wejściowe użytkownika (pola username i namespace z punktów końcowych JSON /exec/init i /exec/config) w wywołanie sh -c bez żadnego escapowania. Gdy usługa działa z wyłączonym uwierzytelnianiem (domyślnie), każdy atakujący z dostępem sieciowym może osiągnąć zdalne wykonanie kodu w kontenerach, do których che-machine-exec ma dostęp, poprzez podstawianie poleceń powłoki.

Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność wstrzyknięcia formuły CSV w eksporcie rejestracji. Problem występuje w wersjach od 3.5.0 do 4.0.16.

Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność Stored XSS poprzez pole niestandardowe typu URL w wydarzeniu. Problem występuje w wersjach od 3.2.1 do 4.0.16.

W jądrze Linux w sterowniku Hyper-V (hv) występuje błąd polegający na wymuszaniu stanu DISCONNECTED przed wywołaniem vmbus_disconnect(). Powoduje to, że vmbus_initiate_unload() nie odłącza połączenia VMBus, ponieważ sprawdza on stan CONNECTED, w wyniku czego host Hyper-V może nadal wysyłać komunikaty lub przerwania VMBus.

W jądrze Linux w podsystemie power supply występuje luka use-after-free. Jeśli zasilacz zostanie wyrejestrowany (power_supply_unregister) w trakcie wykonywania callbacku external_power_changed(), sterownik może zwolnić dane, do których callback nadal próbuje uzyskać dostęp, co prowadzi do awarii jądra (NULL pointer dereference).