CVE Vulnerability Catalog

Podatność CVE-2026-27070 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPEverest Everest Forms Pro, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji Everest Forms Pro od n/a do 1.9.10.

Podatność CVE-2026-27068 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w serwisie Ryan Howard Website LLMs.txt. Problem ten dotyczy wersji od n/a do 8.2.6 włącznie.

Podatność CVE-2026-25445 dotyczy deserializacji niezaufanych danych w oprogramowaniu Membership Software WishList Member X, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WishList Member X od n/a do 3.29.0.

W Dotstore Fraud Prevention dla WooCommerce występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Fraud Prevention dla WooCommerce od n/a do 2.3.3.

Podatność CVE-2026-25442 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w QantumThemes Kentha, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Kentha od n/a do 4.7.2.

Podatność CVE-2026-25438 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeHunk Gutenberg Blocks, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gutenberg Blocks od n/a do 1.2.8 włącznie.

Podatność CVE-2025-68836 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Markbeljaars Table of Contents Creator, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.6.4.1.

W podatności CVE-2025-67618 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ArtstudioWorks Brookside, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Brookside od n/a do 1.4.

Podatność CVE-2025-53222 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w tagDiv Opt-In Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.7.3 włącznie.

Podatność CVE-2025-50001 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w tagDiv Composer, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 5.4.2 włącznie.

Podatność na obejście uwierzytelnienia za pomocą alternatywnej ścieżki lub kanału w Themepaste Admin Safety Guard umożliwia wykorzystanie odzyskiwania hasła. Problem ten dotyczy wersji Admin Safety Guard od n/a do 1.2.6 włącznie.

W Metagauss EventPrime występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EventPrime od n/a do 4.2.8.3 włącznie.

Wersje HCL Unica Marketing Operations v12.1.8 i niższe zawierają podatność na przechowywane ataki typu cross-site scripting (XSS). Atak ten występuje, gdy aplikacja otrzymuje dane z nieufnego źródła i włącza te dane do późniejszych odpowiedzi HTTP w sposób niebezpieczny.

Podatność CVE-2026-27093 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wersjach Tripgo od n/a do poniżej 1.5.6.

Podatność CVE-2026-28073 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Tips and Tricks HQ WP eMember, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji WP eMember od n/a do 10.2.2.

Podatność na deserializację niezaufanych danych w motywie WordPress ColorFolio od BuddhaThemes umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji motywu od n/a do 1.3.

Wtyczka SlimStat Analytics dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'fh' (odcisk palca) we wszystkich wersjach do 5.3.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wersje OpenClaw przed 2026.2.19 zawierają podatność na wstrzykiwanie poleceń w narzędziu Lobster, które wykorzystuje powrotną obsługę powłoki Windows z ustawieniem shell: true po nieudanych próbach uruchomienia. Atakujący mogą wstrzykiwać metaznaki powłoki w argumentach poleceń, co pozwala na wykonanie dowolnych poleceń w przypadku błędów EINVAL lub ENOENT.

Wersje OpenClaw 2026.2.22 i 2026.2.23 zawierają podatność na obejście autoryzacji w wtyczce kanału synology-chat, gdzie polityka dmPolicy ustawiona na allowlist z pustymi allowedUserIds nie działa poprawnie. Atakujący z dostępem do nadawcy Synology mogą obejść kontrole autoryzacji i wywołać nieautoryzowane działania agenta oraz narzędzi downstream.

Wersje OpenClaw przed 2026.2.19 zawierają lokalną podatność na wstrzykiwanie poleceń w skryptach zadań zaplanowanych w systemie Windows, spowodowaną niebezpiecznym przetwarzaniem metaznaków cmd oraz znaków wrażliwych na rozwinięcie w plikach gateway.cmd. Lokalni atakujący mogą wstrzykiwać dowolne polecenia, dostarczając wartości zawierające tylko metaznaki lub sekwencje CR/LF.