CVE Vulnerability Catalog

Podatność CVE-2026-27054 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w PenciDesign Penci Soledad Data Migrator, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.3.1 włącznie.

W podatności CVE-2026-27048 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Elated-Themes The Aisle Core w wersjach od n/a do 2.0.5. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W podatności CVE-2026-27047 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Mikado-Themes Curly Core w wersjach od n/a do 2.1.6.

Podatność CVE-2026-27045 dotyczy deserializacji niezaufanych danych w wtyczce sbthemes WooCommerce Infinite Scroll, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.6.2 włącznie.

W podatności CVE-2026-27040 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w wtyczce WZone. Problem dotyczy wersji WZone od n/a do 14.0.31 włącznie.

W podatności CVE-2026-27039 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WZone. Problem dotyczy wersji WZone od n/a do 14.0.31 włącznie.

W podatności CVE-2026-25464 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w TieLabs Jannah. Problem dotyczy wersji Jannah od n/a do 7.6.4 włącznie.

W podatności CVE-2026-25461 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bibliotece Listeo Core. Problem dotyczy wersji od n/a do 2.0.21 włącznie.

W podatności CVE-2026-25458 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem dotyczy wersji Moments od n/a do 2.2 włącznie.

Podatność CVE-2026-25457 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w Mixtape w wersjach od n/a do 2.1.

W podatności CVE-2026-25456 występuje brak autoryzacji w systemie Aarsiv Groups, który obsługuje automatyczne i ręczne stawki FedEx z etykietami wysyłkowymi. Problem ten dotyczy wersji od n/a do 5.1.9.

Podatność CVE-2026-25452 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPDO Remoji, co prowadzi do możliwości wystąpienia ataku typu Stored XSS. Problem ten dotyczy wersji Remoji od n/a do 2.2 włącznie.

W podatności CVE-2026-25435 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie rezerwacji wpdevart. Problem ten pozwala na przeprowadzenie ataku typu Stored XSS w wersjach od n/a do 3.2.36 w Booking calendar, Appointment Booking System.

Podatność związana z nieprawidłowym przypisaniem uprawnień w WPBookit Pro umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPBookit Pro od n/a do 1.6.18 włącznie.

Podatność CVE-2026-25406 dotyczy systemu Tutor LMS Pro, umożliwiając obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 3.9.4 włącznie.

W WPCargo Track & Trace występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 8.0.2 włącznie.

Podatność CVE-2026-25400 dotyczy deserializacji niezaufanych danych w bibliotece thememount Apicona, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Apicona od n/a do 24.1.0 włącznie.

W podatności CVE-2026-25397 występuje problem z przechodzeniem ścieżek w Snowray Software File Uploader dla WooCommerce, co pozwala na nieautoryzowany dostęp do plików. Dotyczy to wersji File Uploader dla WooCommerce od n/a do 1.0.4 włącznie.

W CoderPress Commerce Coinbase dla WooCommerce występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 1.6.6.

Podatność CVE-2026-25383 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie zarządzania kliniką KiviCare, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji KiviCare od n/a do 3.6.16 włącznie.