CVE Vulnerability Catalog

Podatność CVE-2026-25326 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten dotyczy CMSMasters Content Composer w wersjach od n/a do 1.4.5.

Podatność na deserializację niezaufanych danych w Brainstorm Force CartFlows umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji CartFlows od n/a do 2.1.19 włącznie.

W podatności CVE-2026-23805 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Media Search Enhanced. Problem ten dotyczy wersji od n/a do 0.9.1 włącznie.

W podatności CVE-2026-23547 występuje brak autoryzacji w komponencie CMSMasters Content Composer, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.5.8.

Podatność na deserializację niezaufanych danych w Valenti pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Valenti od n/a do 5.6.3.5.

W WPFunnels Mail Mint występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Mail Mint od n/a do 1.19.4 włącznie.

Podatność CVE-2026-22333 dotyczy deserializacji niezaufanych danych w wtyczce YITH WooCommerce Compare, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.6.0 włącznie.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /admin/manage_register.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 odkryto lukę. Problem dotyczy nieznanej funkcjonalności pliku /admin/ajax.php?action=login w komponencie logowania administratora, co prowadzi do możliwości wstrzyknięcia SQL.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 wykryto podatność. Manipulacja argumentem ID w pliku /admin/manage_booking.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

OpenClaw to osobisty asystent AI, który w wersjach 2026.1.30 i poniżej, jeśli `channels.telegram.webhookSecret` nie jest ustawiony w trybie webhook Telegram, może akceptować żądania HTTP webhook bez weryfikacji nagłówka tokena sekretnego Telegramu. Może to prowadzić do przetwarzania fałszywych aktualizacji Telegramu przez atakującego.

Gogs to otwartoźródłowa usługa Git, która w wersjach 0.13.4 i poniżej ma lukę w kontroli dostępu, umożliwiającą współpracownikom z uprawnieniami do zapisu usunięcie chronionych gałęzi, w tym gałęzi domyślnej, poprzez wysłanie bezpośredniego żądania POST. Ta podatność pozwala na eskalację uprawnień z poziomu zapisu do poziomu administratora.

The Orderable – WordPress Restaurant Online Ordering System and Food Ordering Plugin is vulnerable to unauthorized plugin installation due to a missing capability check on the 'install_plugin' function in all versions up to and including 1.20.0. This allows authenticated attackers with Subscriber-level access and above to install arbitrary plugins, potentially leading to Remote Code Execution.

Wtyczka Toret Manager dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcjach 'trman_save_option' oraz 'trman_save_option_items' we wszystkich wersjach do 1.2.7 włącznie. Umożliwia to atakującym z poziomem dostępu Subskrybenta i wyżej aktualizację dowolnych opcji na stronie WordPress.

Narzędzie com.epson.InstallNavi.helper, dostarczane z instalatorem sterownika drukarki EPSON, zawiera podatność na eskalację uprawnień lokalnych z powodu wielu błędów w implementacji. Nieprawidłowo uwierzytelnia klientów w protokole XPC i nie egzekwuje poprawnie modelu autoryzacji macOS, co naraża funkcjonalność z uprawnieniami na dostęp ze strony nieufnych użytkowników.

Wtyczka IDonate – System Zarządzania Krwiodawstwem i Żądaniami jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji idonate_donor_profile() w wersjach od 2.1.5 do 2.1.9. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, przejęcie dowolnego konta poprzez przypisanie nowego adresu e-mail i zainicjowanie resetu hasła.

Wtyczka BackWPup – WordPress Backup & Restore Plugin dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji save_site_option() we wszystkich wersjach do 5.6.2 włącznie.

Wtyczka WP Customer Reviews dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametr 'wpcr3_fname' we wszystkich wersjach do 3.7.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które zostaną wykonane, jeśli uda im się oszukać użytkownika do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka WP AUDIO GALLERY dla WordPressa jest podatna na nieautoryzowany odczyt dowolnych plików we wszystkich wersjach do 2.0 włącznie. Problem wynika z niewystarczających kontroli uprawnień oraz braku weryfikacji nonce w funkcji 'wpag_htaccess_callback'.

Wtyczka CTX Feed – WooCommerce Product Feed Manager dla WordPressa jest podatna na nieautoryzowaną instalację dowolnych wtyczek z powodu braku sprawdzenia uprawnień w funkcji woo_feed_plugin_installing() w wersjach do 6.6.11 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Menedżera Sklepu i wyżej instalację dowolnych wtyczek, co może prowadzić do zdalnego wykonania kodu.