CVE Vulnerability Catalog

W podatności CVE-2026-32392 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączanie plików. Problem ten dotyczy wersji Greenly od n/a do 8.1 włącznie.

W podatności CVE-2026-32384 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w usłudze WpBookingly. Problem dotyczy wersji WpBookingly od n/a do 1.2.9 włącznie.

Podatność CVE-2026-32369 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji Medilink-Core od n/a do poniżej 2.0.7.

Podatność CVE-2026-32368 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji delphiknight Geo to Lat w wersjach od n/a do 1.0.19.

Podatność CVE-2026-32366 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Collapsing Categories w wersjach od n/a do 3.0.9. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.

W podatności CVE-2026-32365 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Collapsing Archives w wersjach od n/a do 3.0.7.

W podatności CVE-2026-32364 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy Turbo Manager w wersjach od n/a do poniżej 4.0.8.

W podatności CVE-2026-32358 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Booking Calendar. Problem dotyczy wersji Booking Calendar od n/a do 10.14.15 włącznie.

Podatność na deserializację niezaufanych danych w Crocoblock JetEngine umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji JetEngine od n/a do poniżej 3.8.4.1.

Ella Core to rdzeń 5G zaprojektowany dla sieci prywatnych. Przed wersją 1.5.1, Ella Core ulega awarii podczas przetwarzania źle sformatowanej wiadomości NGAP/NAS z długością poniżej 7 bajtów.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. W wersjach przed 10.0.23 komponent wyświetlacza Markdown renderuje diagramy Mermaid z ustawieniem securityLevel: 'loose', co umożliwia wstrzykiwanie SVG przez innerHTML, co prowadzi do podatności na XSS.

OpenClaw to osobisty asystent AI. Przed wersją 2026.3.11, połączenia WebSocket pochodzące z przeglądarki mogły omijać walidację pochodzenia, gdy tryb gateway.auth.mode był ustawiony na trusted-proxy i żądanie zawierało nagłówki proxy.

W wersjach od 0.8.2 do 0.8.2-rc3, punkt końcowy OAuth w LibreChat akceptuje przekierowanie z dostawcy tożsamości i przechowuje tokeny OAuth użytkownika, który zainicjował proces, bez weryfikacji, czy przeglądarka jest zalogowana lub czy zalogowany użytkownik odpowiada inicjatorowi. To umożliwia atakującemu przejęcie konta ofiary.

W podatności CVE-2026-31922 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w systemie Ays Pro Fox LMS. Problem dotyczy wersji Fox LMS od n/a do 1.0.6.3 włącznie.

W podatności CVE-2026-31917 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w weDevs WP ERP. Problem ten dotyczy wersji WP ERP od n/a do 1.16.10 włącznie.

CairoSVG to konwerter SVG oparty na bibliotece graficznej Cairo. Wcześniejsze wersje zawierają podatność na eksponencjalny atak typu denial of service poprzez amplifikację rekurencyjnego elementu <use>, co prowadzi do wyczerpania CPU przy niewielkim wejściu.

Dagu to silnik workflow z wbudowanym interfejsem użytkownika w sieci. W wersjach przed 2.2.4, gdy Dagu jest skonfigurowany z uwierzytelnianiem HTTP Basic, wszystkie punkty końcowe Server-Sent Events (SSE) są dostępne bez jakichkolwiek poświadczeń, co pozwala nieautoryzowanym atakującym na dostęp do danych wykonania DAG w czasie rzeczywistym, konfiguracji workflow, logów wykonania oraz statusu kolejki.

Yamux to multiplexer strumieniowy działający na niezawodnych, uporządkowanych połączeniach, takich jak TCP/IP. W wersjach od 0.13.0 do przed 0.13.9, specjalnie skonstruowany WindowUpdate może spowodować przepełnienie arytmetyczne w rachunkowości okna wysyłania, co prowadzi do paniki w maszynie stanu połączenia.

SFTPGo to rozwiązanie do transferu plików oparte na zdarzeniach. W wersjach SFTPGo przed 2.7.1 występuje niezgodność normalizacji ścieżek między obsługą protokołów a wewnętrznym routowaniem systemu plików, co może prowadzić do obejścia autoryzacji.

Wtyczka Formidable Forms dla WordPressa jest podatna na obejście integralności płatności we wszystkich wersjach do 6.28 włącznie. Problem wynika z tego, że handler zwrotu Stripe Link oznacza rekordy płatności jako zakończone na podstawie statusu PaymentIntent, nie porównując kwoty pobranej z oczekiwaną kwotą płatności.