CVE Vulnerability Catalog

Wersja ralphje Signify przed 0.9.2 zawiera problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez komponenty signed_data.py i context.py.

Multiple Stored XSS vulnerabilities exist in Seafile Server versions 13.0.15, 13.0.16-pro, 12.0.14 and prior, fixed in versions 13.0.17, 13.0.17-pro, and 12.0.20-pro. The application fails to properly sanitize WebSocket messages regarding document structure updates, allowing authenticated remote attackers to inject malicious JavaScript payloads.

Directory Traversal vulnerability in the extractFile method of org.codehaus.plexus.util.Expand in plexus-utils before commit 6d780b3378829318ba5c2d29547e0012d5b29642. Allows an attacker to execute arbitrary code.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez uczynienie instancji GitLab nieodpowiedzialną z powodu niewłaściwej walidacji danych wejściowych w przetwarzaniu zapytań GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.10 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Luka ta mogła pozwolić nieautoryzowanemu użytkownikowi na wykonanie dowolnych mutacji GraphQL w imieniu autoryzowanych użytkowników z powodu niewystarczającej ochrony CSRF.

W podatności CVE-2026-32546 występuje brak autoryzacji w wtyczce StellarWP Restrict Content, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Restrict Content od n/a do 3.2.22 włącznie.

Podatność CVE-2026-32545 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Taboola Pixel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Taboola Pixel od n/a do 1.1.4 włącznie.

W podatności CVE-2026-32544 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w OOPSpam Anti-Spam. Problem dotyczy wersji OOPSpam Anti-Spam od n/a do 1.2.62.

Podatność CVE-2026-32542 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeFusion Fusion Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Fusion Builder od n/a do poniżej 3.15.0.

Podatność CVE-2026-32540 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Bookly, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Bookly od n/a do 26.7 włącznie.

Podatność CVE-2026-32538 dotyczy wtyczki Noor Alam SMTP Mailer, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.1.24 włącznie.

W podatności CVE-2026-32537 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wtyczki Visual Portfolio, Photo Gallery & Post Grid w wersjach od n/a do 3.5.1.

W podatności CVE-2026-32534 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w JoomSky JS Help Desk w wersjach od n/a do 3.0.3. Problem ten może umożliwić atakującym dostęp do wrażliwych danych w bazie danych.

W podatności CVE-2026-32532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce ThemeHunk Contact Form & Lead Form Elementor Builder. Problem dotyczy wersji od n/a do 2.0.1.

W podatności CVE-2026-32531 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Kunco od n/a do poniżej 1.4.5.

W podatności CVE-2026-32530 w systemie WPFunnels Creator LMS występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji Creator LMS od n/a do 1.1.18 włącznie.

Podatność CVE-2026-32529 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Molla, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Molla od n/a do poniżej 1.5.19.

Podatność CVE-2026-32528 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Riode, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Riode od n/a do poniżej 1.6.29.

W podatności CVE-2026-32526 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce VillaTheme Abandoned Cart Recovery dla WooCommerce. Problem ten dotyczy wersji wtyczki od n/a do 1.1.10 włącznie.

Podatność CVE-2026-32522 dotyczy systemu wsparcia biletów WooCommerce, który pozwala na przeprowadzenie ataku typu 'Path Traversal'. Problem ten występuje w wersjach od n/a do poniżej 18.5.