Katalog podatności CVE

Wtyczka The Ocean Extra dla WordPressa w wersjach do 2.6.0 włącznie jest podatna na wykonanie dowolnego shortcode. Wynika to z faktu, że oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.

Wtyczka VK Blocks dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez funkcję 'linkToPost' bloku Group we wszystkich wersjach do 1.126.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współautora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Post and Page Builder by BoldGrid – Visual Drag and Drop Editor dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'data-label' w Table Designer we wszystkich wersjach do 1.27.13 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa jest podatna na nieuwierzytelnione trwałe skrypty cross-site (Stored XSS) poprzez parametr 'order_email' we wszystkich wersjach do 7.0.5 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'title' we wszystkich wersjach do 1.8.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na trwałe skrypty cross-site (Stored XSS) poprzez parametr 'ref' we wszystkich wersjach do 4.5.14 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Checkout Field Manager (Checkout Manager) dla WooCommerce na WordPressie jest podatna na obejście autoryzacji we wszystkich wersjach do 7.9.6 włącznie. Wynika to z nieprawidłowego sprawdzania, czy użytkownik jest upoważniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym usunięcie dowolnych załączników z Biblioteki mediów.

Wtyczka Import and export users and customers dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez niestandardowe pola profilu użytkownika (Custom Column User Meta Profile Fields) we wszystkich wersjach do 2.4.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z niestandardowym poziomem dostępu lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Tracking Code Manager dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'TCM_ErrorMessages' we wszystkich wersjach do 2.6.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka Link Library dla WordPressa jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez parametr 'link_url' we wszystkich wersjach do 7.9.2 włącznie. Wynika to z niewystarczającego escapowania parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączenie dodatkowych zapytań SQL do istniejących zapytań, co może być wykorzystane do wyodrębnienia poufnych informacji z bazy danych.

CVE-2026-110926 został odrzucony jako duplikat CVE-2026-106582. Oryginalny opis podatności nie jest dostępny w tym zgłoszeniu.

CVE-2026-110925 został odrzucony jako duplikat CVE-2026-106583. Oryginalny opis podatności nie jest dostępny w tym zgłoszeniu.

CVE-2026-110923 został odrzucony jako duplikat CVE-2026-106552. Oryginalny opis podatności nie jest dostępny w tym zgłoszeniu.

Podatność bezpieczeństwa w HPE NonStop EXPAND może prowadzić do odczytu pamięci poza granicami bufora.

Podatność bezpieczeństwa w HPE NonStop EXPAND może prowadzić do odczytu pamięci poza granicami bufora.

Podatność bezpieczeństwa w HPE NonStop EXPAND może powodować odczyt pamięci poza zakresem, prowadzący do przepełnienia bufora.

Wtyczka PhastPress dla WordPress w wersjach do 3.10 włącznie jest podatna na Server-Side Request Forgery (SSRF). Endpoint usługi skryptów buduje dynamicznie białą listę URL na podstawie nagłówka HTTP 'Host' kontrolowanego przez atakującego, co pozwala obejść whitelistę i wymusić żądania do dowolnych celów.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez treść tekstową Page Builder we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer dla WordPress jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 2.34.10 włącznie poprzez funkcję compressCustom. Brak walidacji typu pliku i filtrowania rozszerzeń na parametrze page_id w połączeniu z publicznie czytelnym nonce omijającym uwierzytelnianie umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.

Znuny do wersji 7.3.6 tworzy zapytanie do bazy danych wyszukiwania zgłoszeń, bezpośrednio konkatenując dane wejściowe użytkownika do instrukcji SQL. Brak walidacji parametru ContentSearch (oczekiwane wartości to "AND" lub "OR") w Kernel::System::Ticket::TicketSearch i Kernel::System::Ticket::ArticleSearchIndex::DB pozwala na wstrzyknięcie dowolnych poleceń SQL.