CVE Vulnerability Catalog

W podatności CVE-2026-22498 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Laurent od n/a do 3.1 włącznie.

W podatności CVE-2026-22496 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Hypnotherapy od n/a do 1.2.10.

W podatności CVE-2026-22495 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie AncoraThemes Greenville. Problem dotyczy wersji Greenville od n/a do 1.3.2 włącznie.

W podatności CVE-2026-22494 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie ThemeREX Good Homes w wersjach od n/a do 1.3.13.

W podatności CVE-2026-22493 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączanie plików. Problem dotyczy motywu Gaspard w wersjach od n/a do 1.3.

W podatności CVE-2026-22491 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce My auctions allegro w wersjach od n/a do 3.6.35. Problem ten umożliwia atakującym wstrzykiwanie złośliwego kodu JavaScript, który może być wykonany w kontekście przeglądarki użytkownika.

Podatność CVE-2026-22480 dotyczy deserializacji niezaufanych danych w wtyczce WebToffee Product Feed dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 2.3.3 włącznie.

W podatności CVE-2026-22448 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co pozwala na atak typu Path Traversal w aplikacji flexcubed PitchPrint. Problem dotyczy wersji PitchPrint od n/a do 11.1.2 włącznie.

W Metagauss EventPrime występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji EventPrime od n/a do 4.2.6.0 włącznie.

Podatność CVE-2025-69347 dotyczy WPSubscription, gdzie możliwe jest obejście autoryzacji poprzez kontrolowany przez użytkownika klucz. Problem ten wynika z nieprawidłowo skonfigurowanych poziomów kontroli dostępu i dotyczy wersji od n/a do 1.8.10.

Podatność CVE-2025-69096 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie G5Theme Zorka, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Zorka od n/a do 1.5.7 włącznie.

Kiteworks to sieć prywatnych danych (PDN). W wersjach Kiteworks Secure Data Forms przed 9.2.1, uwierzytelniony atakujący mógł wykorzystać niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych, co prowadziło do ataku typu Stored XSS przy modyfikacji formularzy.

Podatność w funkcji serwera HTTP oprogramowania Cisco IOS i Cisco IOS XE w wersji 3E może pozwolić uwierzytelnionemu, zdalnemu atakującemu na nieoczekiwane przeładowanie urządzenia, co prowadzi do stanu odmowy usługi (DoS). Problem wynika z niewłaściwej walidacji danych wejściowych dostarczonych przez użytkownika.

Podatność w przetwarzaniu pakietów CAPWAP w oprogramowaniu Cisco IOS XE dla kontrolerów bezprzewodowych Catalyst CW9800 może umożliwić nieautoryzowanemu, zdalnemu atakującemu spowodowanie warunków odmowy usługi (DoS) na podatnym urządzeniu. Problem wynika z niewłaściwego przetwarzania źle sformatowanego pakietu CAPWAP.

Podatność w funkcji DHCP snooping oprogramowania Cisco IOS XE może pozwolić nieautoryzowanemu, zdalnemu atakującemu na przesyłanie pakietów BOOTP między VLAN-ami, co prowadzi do stanu odmowy usługi (DoS). Problem wynika z niewłaściwego przetwarzania pakietów BOOTP na przełącznikach Cisco Catalyst 9000.

Podatność w funkcji IKEv2 oprogramowania Cisco IOS, Cisco IOS XE, Cisco Secure Firewall ASA oraz Cisco Secure Firewall FTD może pozwolić nieautoryzowanemu, zdalnemu atakującemu na wywołanie wycieku pamięci, co prowadzi do stanu odmowy usługi (DoS) na podatnym urządzeniu. Problem wynika z nieprawidłowego parsowania pakietów IKEv2.

Podatność w bibliotece TLS oprogramowania Cisco IOS XE może pozwolić nieautoryzowanemu, sąsiedniemu atakującemu na wyczerpanie dostępnej pamięci urządzenia. Problem wynika z niewłaściwego zarządzania zasobami pamięci podczas nawiązywania połączenia TLS.

OpenCart Core w wersji 4.0.2.3 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru 'search'. Atakujący mogą wysyłać żądania GET do punktu końcowego wyszukiwania produktów z złośliwymi wartościami 'search', aby wydobyć wrażliwe informacje z bazy danych.

Kiteworks, będący prywatną siecią danych, ma w wersjach 9.2.0 i 9.2.1 podatność w zakresie kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na dostęp do nieautoryzowanych treści. Zaleca się aktualizację do wersji 9.2.2 lub nowszej, aby zastosować poprawkę.

W wersji 3.7.7 Support Board odkryto podatność na SQL Injection. Umożliwia ona atakującemu pobieranie, tworzenie, aktualizowanie oraz usuwanie danych z bazy danych za pomocą parametru 'calls[0][message_ids][]' w punkcie końcowym '/supportboard/include/ajax.php'.