Katalog podatności CVE

W programie gawk w wersjach 5.4.0 i niższych wykryto podatność na przepełnienie liczby całkowitej w pliku "builtin.c". Może to prowadzić do wyczerpania pamięci systemu operacyjnego oraz umożliwić nadpisanie metadanych sterty i obiektów gawk przez atakującego.

W Mura CMS przed wersją 10.0.712 wykryto krytyczną podatność na zdalne wykonanie kodu (RCE). Problem występuje w punkcie końcowym „/index.cfm/_api/json/v1/default”, gdzie parametr „method” w żądaniach POST nie jest odpowiednio walidowany ani oczyszczany przed przetworzeniem przez silnik ColdFusion. Zdalny atakujący może wykorzystać tę lukę do wstrzyknięcia i wykonania dowolnych wyrażeń CFML oraz utworzenia złośliwych obiektów Java, co prowadzi do naruszenia bezpieczeństwa systemu.

Brak autoryzacji w funkcji tworzenia repozytoriów w Google Cloud BigQuery, Dataform i Colab Enterprise umożliwia uwierzytelnionemu atakującemu eskalację uprawnień i przejęcie repozytoriów między dzierżawcami. Podatność dotyczy wersji od października 2025 do 10 maja 2026.

Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.

Wtyczka AIWU do generowania treści zawiera podatność na ślepe wstrzykiwanie SQL w wersjach do 1.5.4 włącznie. Atakujący może wykorzystać brak odpowiedniej neutralizacji specjalnych znaków w zapytaniach SQL.

Wtyczka MailOptin dla WordPressa zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.2.77.3 włącznie.

Wtyczka Realtyna Organic IDX (real-estate-listing-realtyna-wpl) do WordPressa zawiera podatność na wstrzykiwanie kodu, która umożliwia zdalne dołączanie kodu. Problem dotyczy wersji do 5.2.0 włącznie.

Wtyczka Grand Photography dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Luka występuje we wszystkich wersjach do 5.7.8 włącznie.

Wtyczka RT-Theme 18 | Extensions (rt18-extensions) w wersjach do 2.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub manipulacji danymi.

Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 10.11.0 włącznie.

Wtyczka 777 triple-seven do WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 1.13.0 włącznie.

Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.

Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.

Wtyczka Aimogen Pro dla WordPressa zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem. Umożliwia to atakującemu przesłanie złośliwych plików, co może prowadzić do zdalnego wykonania kodu.

Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.

Wtyczka WoowBot Pro Max do WordPressa zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem. Umożliwia to atakującemu przesłanie złośliwych plików, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Simple Business Directory Pro dla WordPressa zawiera podatność na wstrzykiwanie SQL w wersjach do 15.9.4 włącznie. Atakujący może wykorzystać brak odpowiedniej neutralizacji specjalnych elementów w zapytaniach SQL.

Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.

Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.

W Apache Gravitino wykryto podatność na wstrzykiwanie ścieżek URL przez nieskodowane identyfikatory dostarczane przez użytkownika. Problem dotyczy wersji od 1.0.0 do 1.2.0.