CVE Vulnerability Catalog

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 przechowuje dane uwierzytelniające użytkowników oraz inne wrażliwe informacje w postaci niezaszyfrowanej, co umożliwia ich odczyt przez lokalnego użytkownika.

A vulnerability in NATS-Server exposes static credentials passed via command-line arguments (argv) through the `/debug/vars` endpoint. If the monitoring port is enabled, any user with access to it can read these credentials.

A vulnerability in NATS-Server before versions 2.11.15 and 2.12.6 allows a client with access to the leafnode port to send a malformed message pre-authentication, causing the server to crash.

In NATS-Server prior to versions 2.11.15 and 2.12.6, ACLs on message subjects were not applied in the $MQTT.> namespace, allowing MQTT clients to bypass ACL checks for MQTT subjects. The vulnerability is fixed in versions 2.11.15 and 2.12.6.

In NATS-Server prior to versions 2.11.15 and 2.12.6, for MQTT deployments using usercodes/passwords, MQTT passwords are incorrectly classified as a non-authenticating identity statement (JWT) and exposed via monitoring endpoints.

A vulnerability in NATS-Server allows an attacker to remotely trigger a panic and crash the server before authentication. The issue occurs when leafnode configuration is enabled (not default) and compression is enabled (default for leafnodes).

In NATS-Server versions 2.2.0 through 2.11.14 and 2.12.5, a missing sanity check on a WebSockets frame can trigger a server panic. This vulnerability occurs before authentication and is exposed to anyone who can connect to the websockets port.

Modoboa to platforma do hostingu i zarządzania pocztą. W wersjach przed 2.7.1 funkcja `exec_cmd()` w pliku `modoboa/lib/sysutils.py` zawsze uruchamia polecenia subprocess z `shell=True`, co pozwala na wstrzykiwanie metakarakterów powłoki w nazwach domen.

CVE-2025-70952 dotyczy podatności typu path traversal w funkcji extract() w pliku Unzip.java w wersjach pf4j przed 20c2f80. Niewłaściwe przetwarzanie nazw wpisów zip może prowadzić do ataków typu directory traversal lub Zip Slip z powodu braku odpowiedniej normalizacji i walidacji ścieżek.

Wersja ralphje Signify przed 0.9.2 zawiera problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez komponenty signed_data.py i context.py.

Multiple Stored XSS vulnerabilities exist in Seafile Server versions 13.0.15, 13.0.16-pro, 12.0.14 and prior, fixed in versions 13.0.17, 13.0.17-pro, and 12.0.20-pro. The application fails to properly sanitize WebSocket messages regarding document structure updates, allowing authenticated remote attackers to inject malicious JavaScript payloads.

Directory Traversal vulnerability in the extractFile method of org.codehaus.plexus.util.Expand in plexus-utils before commit 6d780b3378829318ba5c2d29547e0012d5b29642. Allows an attacker to execute arbitrary code.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez uczynienie instancji GitLab nieodpowiedzialną z powodu niewłaściwej walidacji danych wejściowych w przetwarzaniu zapytań GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.10 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Luka ta mogła pozwolić nieautoryzowanemu użytkownikowi na wykonanie dowolnych mutacji GraphQL w imieniu autoryzowanych użytkowników z powodu niewystarczającej ochrony CSRF.

W podatności CVE-2026-32546 występuje brak autoryzacji w wtyczce StellarWP Restrict Content, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Restrict Content od n/a do 3.2.22 włącznie.

Podatność CVE-2026-32545 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Taboola Pixel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Taboola Pixel od n/a do 1.1.4 włącznie.

W podatności CVE-2026-32544 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w OOPSpam Anti-Spam. Problem dotyczy wersji OOPSpam Anti-Spam od n/a do 1.2.62.

Podatność CVE-2026-32542 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeFusion Fusion Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Fusion Builder od n/a do poniżej 3.15.0.

Podatność CVE-2026-32540 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Bookly, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Bookly od n/a do 26.7 włącznie.

Podatność CVE-2026-32538 dotyczy wtyczki Noor Alam SMTP Mailer, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.1.24 włącznie.