CVE Vulnerability Catalog

Podatność na obejście uprawnień w ramach systemu usług. Skuteczne wykorzystanie tej podatności może wpłynąć na dostępność systemu.

Wtyczka Membership Plugin – Restrict Content dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 3.2.20 włącznie. Problem wynika z funkcji `rcp_setup_registration_init()`, która akceptuje dowolny identyfikator poziomu członkostwa bez weryfikacji, czy poziom jest aktywny lub czy wymagana jest płatność.

Podatność związana z niewłaściwą kontrolą dostępu w jądrze SUSE Linux Enterprise Server 12 SP5 powoduje, że reguły zapory stosowane za pomocą nftables nie są skuteczne. Problem ten dotyczy wersji SUSE Linux Enterprise Server od 9e6d9d4601768c75fdb0bad3fbbe636e748939c2 do przed 9c294edb7085fb91650bc12233495a8974c5ff2d.

Ghost to system zarządzania treścią oparty na Node.js. W wersjach od 0.7.2 do 6.19.0, specjalnie przygotowane złośliwe motywy mogą wykonywać dowolny kod na serwerze uruchamiającym Ghost. Problem został naprawiony w wersji 6.19.1.

W podatności CVE-2026-28137 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie MediCenter - Health Medical Clinic, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji od n/a do 14.9 włącznie.

Podatność w WP Royal Royal Elementor Addons (wersje do 1.7.1052) pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Może to prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji.

Podatność typu 'Code Injection' w Crocoblock JetEngine umożliwia zdalne włączenie kodu. Problem dotyczy wersji JetEngine od n/a do 3.7.2 włącznie.

Podatność CVE-2026-28133 dotyczy WP Chill Filr, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Filr od n/a do 1.2.14 włącznie.

Podatność typu Cross-site Scripting (XSS) w AndonDesign UDesign umożliwia atakującym wstrzykiwanie złośliwego kodu do generowanych stron internetowych. Problem dotyczy wersji UDesign od n/a do 4.14.0.

Podatność CVE-2026-28129 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w motywie Little Birdies w wersjach od n/a do 1.3.16.

W podatności CVE-2026-28128 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Verse od n/a do 1.7.0.

W podatności CVE-2026-28127 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w e-plugins Lawyer Directory, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji Lawyer Directory od n/a do 1.3.2 włącznie.

Podatność CVE-2026-28126 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji RH Frontend Publishing Pro w wersjach poniżej 4.3.4. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

W podatności CVE-2026-28125 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem ten dotyczy wersji Midi od n/a do 1.14 włącznie.

W podatności CVE-2026-28124 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w AncoraThemes Notarius w wersjach do 1.9. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W podatności CVE-2026-28123 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia pliku. Problem dotyczy wersji Veil od n/a do 1.9 włącznie.

Wtyczka ListingPro w CridioStudio zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 2.9.8.

W podatności CVE-2026-28121 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wersji Anderson od n/a do 1.4.2.

Podatność CVE-2026-28120 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP w ThemeREX Dr.Patterson, co pozwala na lokalne włączenie plików PHP. Problem ten dotyczy wersji Dr.Patterson od n/a do 1.3.2 włącznie.

W podatności CVE-2026-28119 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP w motywie Nirvana od wersji n/a do 2.6. Problem ten może prowadzić do nieautoryzowanego dostępu do plików na serwerze.