CVE Vulnerability Catalog

Podatność CVE-2026-23661 dotyczy przesyłania wrażliwych informacji w postaci niezaszyfrowanej w Azure IoT Explorer, co umożliwia nieautoryzowanemu atakującemu ujawnienie tych informacji w sieci.

Nieprawidłowa kontrola dostępu w Azure Portal Windows Admin Center umożliwia autoryzowanemu atakującemu lokalne podniesienie uprawnień.

Podatność CVE-2026-23654 dotyczy zależności od podatnego komponentu zewnętrznego w repozytorium GitHub: zero-shot-scfoundation, co pozwala nieautoryzowanemu atakującemu na wykonanie kodu przez sieć.

W Fortinet FortiSwitchAXFixed w wersjach 1.0.0 do 1.0.1 występuje podatność na przepełnienie bufora z powodu braku sprawdzenia rozmiaru wejścia. Atakujący, który nie jest uwierzytelniony, może wysłać spreparowany pakiet LLDP, co pozwala na wykonanie nieautoryzowanego kodu lub poleceń na urządzeniu.

W Fortinet FortiAnalyzer i FortiManager występuje luka umożliwiająca obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Atakujący, znający hasło administratora, może ominąć kontrole uwierzytelniania wieloskładnikowego, wysyłając odpowiednio przygotowane żądania.

A vulnerability in SQL Server allows an authorized attacker to elevate privileges over a network due to improper access control.

Nieprawidłowa walidacja danych wejściowych w System Center Operations Manager umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

Wtyczka MetForm Pro dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez funkcję Quiz we wszystkich wersjach do 3.9.6 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

A vulnerability related to the use of externally-controlled format strings in Fortinet FortiAnalyzer and FortiManager may allow an attacker to escalate privileges via specially crafted requests. This affects multiple versions of these products.

W Fortinet FortiWeb w wersjach od 7.0.0 do 8.0.1 występuje podatność na wstrzykiwanie poleceń systemowych (os command injection) z powodu niewłaściwego neutralizowania specjalnych elementów. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnych poleceń za pomocą specjalnie skonstruowanego żądania HTTP.

SQL Injection vulnerability in LimeSurvey before version 6.15.4+250710 allows a remote attacker to inject malicious SQL code into database queries. This can lead to unauthorized access to sensitive data stored in the database.

W Fortinet FortiManager w wersjach 7.4.0 do 7.4.2, 7.2.0 do 7.2.10 oraz 6.4 we wszystkich wersjach występuje podatność typu przepełnienie bufora na stosie. Atakujący zdalny, nieautoryzowany użytkownik może wykonać nieautoryzowane polecenia poprzez odpowiednio skonstruowane żądania, jeśli usługa jest włączona.

The CWE-798 vulnerability involves the use of hard-coded credentials, which could lead to information disclosure and remote code execution when SOCKS Proxy is enabled and administrator and PostgreSQL database credentials are known. SOCKS Proxy is disabled by default.

A CWE-502 vulnerability related to the deserialization of untrusted data exists that could lead to arbitrary code execution with administrative privileges when a locally authenticated attacker sends a crafted data stream, triggering unsafe deserialization.

Wtyczka The Events Calendar dla WordPressa jest podatna na atak typu Path Traversal we wszystkich wersjach do 6.15.17 włącznie, poprzez funkcję 'ajax_create_import'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej odczytanie zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

Parse Server, otwarte źródło backendu, przed wersjami 9.5.0-alpha.14 i 8.6.11, pozwalał złośliwym klientom na subskrypcję LiveQuery z wykorzystaniem spreparowanego wzorca $regex, co prowadziło do katastrofalnego cofania, blokując pętlę zdarzeń Node.js. To powodowało, że cały serwer Parse stawał się nieodpowiedzialny, wpływając na wszystkich klientów.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. W wersjach przed 10.0.19 aplikacja GitHub OneUptime nie weryfikowała poprawności wartości state i installation_id, co pozwalało atakującemu na nadpisanie powiązania instalacji aplikacji GitHub innego projektu.

facileManager to modułowy zestaw aplikacji webowych zaprojektowanych z myślą o administratorach systemów. Przed wersją 6.0.4 występowała podatność na przechowywane XSS (persistent XSS), która miała miejsce, gdy aplikacja otrzymywała dane z nieufnego źródła i włączała te dane w odpowiedziach HTTP w niebezpieczny sposób. Ta podatność została zidentyfikowana w module fmDNS.

W wersjach przed 6.0.4 w aplikacji facileManager występuje podatność na refleksyjny atak XSS, gdy aplikacja przetwarza dane z nieznanego źródła w odpowiedziach HTTP. Możliwe jest wstrzyknięcie złośliwego kodu JavaScript do URL-a poprzez dodanie skryptu w parametrze log_search_query.

The Bucket extension for MediaWiki before version 2.1.1 contains a stored XSS vulnerability. An attacker can inject malicious script into any Bucket table field of PAGE type, which executes when a user views the corresponding Bucket namespace page.