CVE Vulnerability Catalog

ZKTeco ZKAccess Professional version 3.5.3 contains an insecure file permissions vulnerability that allows authenticated users to escalate privileges by modifying executable files. Attackers can leverage the Modify permission granted to the Authenticated Users group to replace executable binaries with malicious code.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera podatności na wstrzykiwanie SQL, które pozwalają nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie dowolnego kodu SQL za pomocą parametru GET 'u_id' w pliku /admin/users.php oraz parametru POST 'agent[]' w pliku /admin/mailer.php.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera wiele podatności na ślepe wstrzykiwanie SQL oparte na czasie, które pozwalają nieautoryzowanym atakującym na wydobycie informacji z bazy danych poprzez wstrzykiwanie kodu SQL do parametrów aplikacji. Atakujący mogą tworzyć żądania z ładunkami opóźniającymi, aby wnioskować o zawartości bazy danych, analizując różnice w czasie odpowiedzi.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera podatność na przechowywane ataki typu cross-site scripting w parametrze location_name interfejsu administracyjnego lokalizacji. Atakujący mogą wysyłać żądania POST do punktu końcowego locations.php z ładunkami JavaScript w polu location_name, co pozwala na wykonanie dowolnego kodu w przeglądarkach administratorów.

Next Click Ventures RealtyScript w wersji 4.0.2 nieprawidłowo sanitizuje przesyłane pliki, co pozwala atakującym na przechowywanie złośliwych skryptów za pomocą parametru POST w admin/tools.php. Atakujący mogą przesyłać pliki zawierające kod JavaScript, który jest wykonywany w kontekście admin/tools.php, gdy jest dostępny dla innych użytkowników.

Qool CMS zawiera wiele podatności na trwałe ataki typu cross-site scripting w kilku skryptach administracyjnych, gdzie parametry POST nie są odpowiednio oczyszczane przed zapisaniem i zwróceniem użytkownikom. Atakujący mogą wstrzykiwać złośliwy kod JavaScript przez parametry takie jak 'title', 'name', 'email', 'username', 'link' i 'task'.

A flaw was found in the RAR5 archive decompression logic of the libarchive library, where processing a specially crafted archive causes an infinite loop that continuously consumes CPU resources. The archive passes checksum validation and appears structurally valid, so affected applications cannot detect the issue before processing.

Podatność CVE-2026-4092 dotyczy ataku typu Path Traversal w Clasp w wersjach poniżej 3.2.0, co pozwala zdalnemu atakującemu na wykonanie złośliwego kodu poprzez projekt Google Apps Script zawierający specjalnie przygotowane nazwy plików z sekwencjami przechodzenia przez katalogi.

A vulnerability related to broken access control may allow an authenticated user to perform horizontal privilege escalation. It only affects specific configurations.

Nieodpowiednia implementacja w silniku V8 w Google Chrome przed wersją 146.0.7680.75 umożliwiała zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.

W Skia w Google Chrome przed wersją 146.0.7680.75 wystąpił błąd zapisu poza granicami, który umożliwiał zdalnemu atakującemu dostęp do pamięci poza dozwolonym obszarem za pomocą spreparowanej strony HTML.

The Use of Hard-coded Credentials vulnerability in Avantra allows accessing functionality not properly constrained by ACLs. This issue affects Avantra versions before 25.3.0.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments dla WordPressa jest podatna na nieautoryzowany dostęp do wrażliwych danych we wszystkich wersjach do i włącznie z 1.6.9.29. Problem wynika z dwóch słabości: ujawnienia `public_nonce` dla nieautoryzowanych użytkowników oraz niewłaściwej autoryzacji w metodzie `get_item()`.

PyJWT before version 2.12.0 does not validate the crit (Critical) Header Parameter defined in RFC 7515. When a JWS token contains a crit array listing extensions that PyJWT does not understand, the library accepts the token instead of rejecting it, violating the MUST requirement in the RFC.

W podatności CVE-2026-32459 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce flycart UpsellWP. Problem dotyczy wersji UpsellWP od n/a do 2.2.4.

W podatności CVE-2026-32458 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w edytorze zbiorczym RealMag777 WOLF. Problem dotyczy wersji WOLF od n/a do 1.0.8.7 włącznie.

W podatności CVE-2026-32433 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w formularzu kontaktowym CP z PayPal. Problem dotyczy wersji CP Contact Form with Paypal od n/a do 1.3.61.

W podatności CVE-2026-32426 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy Medilazar Core w wersjach od n/a do poniżej 1.4.7.

W podatności CVE-2026-32422 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce WP EasyCart. Problem dotyczy wersji WP EasyCart od n/a do 5.8.13.

Podatność CVE-2026-32418 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Meow Gallery w wersjach od n/a do 5.4.4.