CVE Vulnerability Catalog

Qool CMS zawiera wiele podatności na trwałe ataki typu cross-site scripting w kilku skryptach administracyjnych, gdzie parametry POST nie są odpowiednio oczyszczane przed zapisaniem i zwróceniem użytkownikom. Atakujący mogą wstrzykiwać złośliwy kod JavaScript przez parametry takie jak 'title', 'name', 'email', 'username', 'link' i 'task'.

A flaw was found in the RAR5 archive decompression logic of the libarchive library, where processing a specially crafted archive causes an infinite loop that continuously consumes CPU resources. The archive passes checksum validation and appears structurally valid, so affected applications cannot detect the issue before processing.

Podatność CVE-2026-4092 dotyczy ataku typu Path Traversal w Clasp w wersjach poniżej 3.2.0, co pozwala zdalnemu atakującemu na wykonanie złośliwego kodu poprzez projekt Google Apps Script zawierający specjalnie przygotowane nazwy plików z sekwencjami przechodzenia przez katalogi.

A vulnerability related to broken access control may allow an authenticated user to perform horizontal privilege escalation. It only affects specific configurations.

Nieodpowiednia implementacja w silniku V8 w Google Chrome przed wersją 146.0.7680.75 umożliwiała zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.

W Skia w Google Chrome przed wersją 146.0.7680.75 wystąpił błąd zapisu poza granicami, który umożliwiał zdalnemu atakującemu dostęp do pamięci poza dozwolonym obszarem za pomocą spreparowanej strony HTML.

The Use of Hard-coded Credentials vulnerability in Avantra allows accessing functionality not properly constrained by ACLs. This issue affects Avantra versions before 25.3.0.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments dla WordPressa jest podatna na nieautoryzowany dostęp do wrażliwych danych we wszystkich wersjach do i włącznie z 1.6.9.29. Problem wynika z dwóch słabości: ujawnienia `public_nonce` dla nieautoryzowanych użytkowników oraz niewłaściwej autoryzacji w metodzie `get_item()`.

PyJWT before version 2.12.0 does not validate the crit (Critical) Header Parameter defined in RFC 7515. When a JWS token contains a crit array listing extensions that PyJWT does not understand, the library accepts the token instead of rejecting it, violating the MUST requirement in the RFC.

W podatności CVE-2026-32459 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce flycart UpsellWP. Problem dotyczy wersji UpsellWP od n/a do 2.2.4.

W podatności CVE-2026-32458 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w edytorze zbiorczym RealMag777 WOLF. Problem dotyczy wersji WOLF od n/a do 1.0.8.7 włącznie.

W podatności CVE-2026-32433 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w formularzu kontaktowym CP z PayPal. Problem dotyczy wersji CP Contact Form with Paypal od n/a do 1.3.61.

W podatności CVE-2026-32426 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy Medilazar Core w wersjach od n/a do poniżej 1.4.7.

W podatności CVE-2026-32422 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce WP EasyCart. Problem dotyczy wersji WP EasyCart od n/a do 5.8.13.

Podatność CVE-2026-32418 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Meow Gallery w wersjach od n/a do 5.4.4.

W podatności CVE-2026-32414 występuje niewłaściwa kontrola generacji kodu ('wstrzykiwanie kodu') w wtyczce ILLID Advanced Woo Labels, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji Advanced Woo Labels od n/a do 2.36 włącznie.

W podatności CVE-2026-32401 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Dotyczy to aplikacji BoldGrid Client Invoicing od wersji n/a do 20.8.9.

W podatności CVE-2026-32400 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Boldman od n/a do 7.7 włącznie.

Podatność CVE-2026-32399 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Media Library Assistant w wersjach od n/a do 3.32.

W podatności CVE-2026-32393 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w dodatkach do motywu Greenly. Problem dotyczy dodatków Greenly Theme od wersji n/a do poniżej 8.2.