CVE Vulnerability Catalog

GitLab naprawił problem w GitLab EE, który dotyczył wszystkich wersji od 15.4 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Problematyczna była niewłaściwa sanitizacja treści HTML, co mogło pozwolić uwierzytelnionemu użytkownikowi na dodawanie adresów e-mail do kont docelowych użytkowników.

W podatności CVE-2026-27088 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w frameworku G5Theme Darna, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji frameworka Darna od n/a do 2.9 włącznie.

W podatności CVE-2026-27087 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w frameworku G5Theme Wolverine, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji frameworka Wolverine od n/a do 1.9 włącznie.

W podatności CVE-2026-27081 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Rosebud. Problem ten dotyczy wersji Rosebud od n/a do 1.4 włącznie.

W podatności CVE-2026-27080 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne włączenie pliku PHP w motywie Mikado-Themes Deston w wersjach od n/a do 1.0.

W podatności CVE-2026-27079 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Amfissa. Problem ten dotyczy wersji Amfissa od n/a do 1.1 włącznie.

W podatności CVE-2026-27078 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem dotyczy wersji Emaurri od n/a do 1.0.1 włącznie.

W podatności CVE-2026-27077 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji MultiOffice od n/a do 1.2 włącznie.

W podatności CVE-2026-27076 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Mikado-Themes LuxeDrive w wersji do 1.0. Problem ten może umożliwić atakującym dostęp do wrażliwych plików na serwerze.

W podatności CVE-2026-27075 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Belfort. Problem ten dotyczy wersji Belfort od n/a do 1.0 włącznie.

Podatność związana z użyciem twardo zakodowanych poświadczeń w Addi – Cuotas que se adaptan a ti umożliwia wykorzystanie luki w procesie odzyskiwania hasła. Problem ten dotyczy wersji od n/a do 2.0.4 włącznie.

Podatność CVE-2026-27054 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w PenciDesign Penci Soledad Data Migrator, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.3.1 włącznie.

W podatności CVE-2026-27048 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Elated-Themes The Aisle Core w wersjach od n/a do 2.0.5. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W podatności CVE-2026-27047 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Mikado-Themes Curly Core w wersjach od n/a do 2.1.6.

Podatność CVE-2026-27045 dotyczy deserializacji niezaufanych danych w wtyczce sbthemes WooCommerce Infinite Scroll, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.6.2 włącznie.

W podatności CVE-2026-27040 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w wtyczce WZone. Problem dotyczy wersji WZone od n/a do 14.0.31 włącznie.

W podatności CVE-2026-27039 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WZone. Problem dotyczy wersji WZone od n/a do 14.0.31 włącznie.

W podatności CVE-2026-25464 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w TieLabs Jannah. Problem dotyczy wersji Jannah od n/a do 7.6.4 włącznie.

W podatności CVE-2026-25461 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bibliotece Listeo Core. Problem dotyczy wersji od n/a do 2.0.21 włącznie.

W podatności CVE-2026-25458 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem dotyczy wersji Moments od n/a do 2.2 włącznie.