Katalog podatności CVE

W systemie ChurchCRM przed wersją 7.4.0 uwierzytelniony administrator może zdalnie wykonać kod na serwerze poprzez instalację złośliwego archiwum ZIP wtyczki zawierającego webshell PHP. Aplikacja jawnie dodaje 'php' do listy dozwolonych rozszerzeń, a lista zabronionych rozszerzeń nie blokuje standardowych plików .php, co umożliwia bezpośrednie wykonanie kodu przez HTTP po rozpakowaniu plików w katalogu web root.

W platformie ServiceNow AI wykryto podatność zdalnego wykonania kodu, która w określonych okolicznościach może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie kodu w systemie. Luka została załatana przez aktualizacje bezpieczeństwa dla instancji hostowanych oraz klientów self-hosted.

Podatność w Rejetto HFS w wersjach od 3.0.0 do 3.2.0 polega na generowaniu klucza podpisu ciasteczka sesji przy użyciu niekryptograficznego generatora Math.random() oraz ujawnianiu jego wyników nieuwierzytelnionym klientom podczas logowania. Zdalny atakujący może zebrać kilka odpowiedzi logowania, odtworzyć stan generatora, odzyskać klucz podpisu i sfałszować ważne ciasteczko sesji administratora, co prowadzi do pełnego dostępu administracyjnego i zdalnego wykonania kodu przez funkcję konfiguracji server_code.

Podatność w bibliotece Storable dla Perla przed wersją 3.41 powoduje przepełnienie liczby całkowitej ze znakiem podczas deserializacji spreparowanego rekordu SX_HOOK. Funkcja retrieve_hook_common odczytuje 32-bitową liczbę elementów, a dodanie do niej jedynki przy wartości I32_MAX powoduje zawinięcie do wartości ujemnej.

Perl w wersjach przed 5.40.5-RC1, od 5.41.0 przed 5.42.3-RC1 oraz od 5.43.0 przed 5.43.10 generuje błędne wyniki dopasowania wyrażeń regularnych, gdy alternatywa zawierająca więcej niż 65535 stałych gałęzi jest kompilowana do trie w Perl_study_chunk. Przepełnienie 16-bitowego pola powoduje obcięcie tablicy decyzyjnej, co prowadzi do fałszywych dopasowań (pozytywnych i negatywnych).

Podatność zdalnego wykonania kodu w ThemisNETPanel wynika z braku uwierzytelniania dla krytycznej funkcji przesyłania plików. Niezautoryzowany atakujący może przesłać dowolny plik PHP, kodując go w base64, a następnie wykonać kod na serwerze. Problem został naprawiony w łatce wydanej w kwietniu 2026 roku.

W Vitec Flamingo 4.12.2 w punkcie końcowym admin/ajax/gen_graphs.php występuje nieuwierzytelniona podatność na wstrzykiwanie poleceń systemu operacyjnego. Atakujący może zdalnie wykonać dowolne polecenia, przekazując znaki specjalne powłoki w parametrach HTTP GET (start, end, key, format). Brak sanityzacji danych wejściowych powoduje, że wartości są przekazywane bezpośrednio do funkcji passthru(), co umożliwia wykonanie poleceń z uprawnieniami roota.

W Vitec Flamingo 4.12.2 w punkcie końcowym admin/ajax/ping.php występuje nieuwierzytelniona podatność na wstrzykiwanie poleceń systemu operacyjnego. Błąd wynika z podwójnej oceny argumentów powłoki: funkcja escapeshellarg() jest stosowana do parametru host, ale wrapper systemowy pobiera zdekodowaną wartość z argv i przekazuje ją do drugiego wywołania shell_exec() bez odpowiedniego oczyszczania.

W programie gawk w pliku "builtin.c" w funkcji do_sub() wykryto podatność na przepełnienie liczby całkowitej. Problem dotyczy wersji 5.4.0 i starszych dla kompilacji 32-bitowych i może prowadzić do nadpisania metadanych sterty, powodując awarię programu.

W programie gawk w wersjach 5.4.0 i niższych wykryto podatność na przepełnienie liczby całkowitej w pliku "builtin.c". Może to prowadzić do wyczerpania pamięci systemu operacyjnego oraz umożliwić nadpisanie metadanych sterty i obiektów gawk przez atakującego.

W Mura CMS przed wersją 10.0.712 wykryto krytyczną podatność na zdalne wykonanie kodu (RCE). Problem występuje w punkcie końcowym „/index.cfm/_api/json/v1/default”, gdzie parametr „method” w żądaniach POST nie jest odpowiednio walidowany ani oczyszczany przed przetworzeniem przez silnik ColdFusion. Zdalny atakujący może wykorzystać tę lukę do wstrzyknięcia i wykonania dowolnych wyrażeń CFML oraz utworzenia złośliwych obiektów Java, co prowadzi do naruszenia bezpieczeństwa systemu.

Brak autoryzacji w funkcji tworzenia repozytoriów w Google Cloud BigQuery, Dataform i Colab Enterprise umożliwia uwierzytelnionemu atakującemu eskalację uprawnień i przejęcie repozytoriów między dzierżawcami. Podatność dotyczy wersji od października 2025 do 10 maja 2026.

Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.

Wtyczka AIWU do generowania treści zawiera podatność na ślepe wstrzykiwanie SQL w wersjach do 1.5.4 włącznie. Atakujący może wykorzystać brak odpowiedniej neutralizacji specjalnych znaków w zapytaniach SQL.

Wtyczka MailOptin dla WordPressa zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.2.77.3 włącznie.

Wtyczka Realtyna Organic IDX (real-estate-listing-realtyna-wpl) do WordPressa zawiera podatność na wstrzykiwanie kodu, która umożliwia zdalne dołączanie kodu. Problem dotyczy wersji do 5.2.0 włącznie.

Wtyczka Grand Photography dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Luka występuje we wszystkich wersjach do 5.7.8 włącznie.

Wtyczka RT-Theme 18 | Extensions (rt18-extensions) w wersjach do 2.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub manipulacji danymi.

Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 10.11.0 włącznie.

Wtyczka 777 triple-seven do WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 1.13.0 włącznie.