CVE Vulnerability Catalog

W podatności CVE-2026-33615, nieautoryzowany zdalny atakujący może wykorzystać lukę SQL Injection w punkcie końcowym setinfo, spowodowaną niewłaściwym neutralizowaniem specjalnych elementów w poleceniu SQL UPDATE. Może to prowadzić do całkowitej utraty integralności i dostępności.

SEPPmail Secure Email Gateway przed wersją 15.0.3 nieprawidłowo uwierzytelnia wewnętrzną wiadomość w szyfrowanych jednostkach MIME S/MIME, co pozwala atakującemu na kontrolowanie zaufanych nagłówków.

SEPPmail Secure Email Gateway przed wersją 15.0.3 umożliwia przejęcie konta poprzez nadużycie inicjalizacji konta GINA w celu zresetowania hasła ofiary.

SEPPmail Secure Email Gateway przed wersją 15.0.3 pozwala atakującemu na przesyłanie kluczy PGP z UID-ami, które nie pasują do ich adresu e-mail. Może to prowadzić do nieautoryzowanego dostępu do zaszyfrowanej korespondencji.

W wersjach przed 0.31.0.0 w CI4MS, opartym na CodeIgniter 4, występuje podatność typu Stored Cross-Site Scripting (Stored XSS) w funkcjonalności zarządzania użytkownikami. Aplikacja nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika, co pozwala atakującym na wstrzykiwanie trwałego kodu JavaScript.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizował dane wejściowe kontrolowane przez użytkownika podczas tworzenia lub edytowania kategorii bloga. Atakujący może wstrzyknąć złośliwy kod JavaScript do pola tytułu kategorii, co prowadzi do przechowywanego ataku XSS.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizował dane wejściowe kontrolowane przez użytkownika podczas tworzenia lub edytowania postów na blogu. Atakujący może wstrzyknąć złośliwy ładunek JavaScript do treści postu, który jest następnie przechowywany na serwerze i renderowany w różnych widokach aplikacji bez odpowiedniego kodowania wyjścia, co prowadzi do przechowywanego ataku XSS.

CVE-2026-34567 dotyczy aplikacji CI4MS, która przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas tworzenia lub edytowania postów blogowych w sekcji Kategorii. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest następnie przechowywany na serwerze i niebezpiecznie renderowany podczas wyświetlania Kategorii w postach blogowych, co prowadzi do ataku typu stored XSS.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizował dane wejściowe kontrolowane przez użytkownika w funkcjonalności zarządzania stronami. Wiele pól wejściowych akceptowało ładunki JavaScript kontrolowane przez atakującego, które były przechowywane po stronie serwera i później renderowane bez odpowiedniego kodowania wyjścia, co prowadziło do przechowywanego ataku XSS opartego na DOM.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas dodawania postów do menu nawigacyjnego. W wyniku tego, dane związane z postami są przechowywane na serwerze i renderowane bez odpowiedniego kodowania, co prowadzi do podatności na przechowywane ataki XSS.

CVE-2026-34564 dotyczy aplikacji CI4MS, która przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas dodawania stron do menu nawigacyjnego. W wyniku tego, dane związane ze stronami są przechowywane na serwerze i renderowane bez odpowiedniego kodowania, co prowadzi do podatności na przechowywane ataki XSS.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika podczas obsługi przesyłania kopii zapasowych. Atakujący może wstrzyknąć złośliwy ładunek JavaScript do nazwy pliku kopii zapasowej, co prowadzi do przechowywanego niewidocznego ataku XSS.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 niebezpiecznie renderował dane wejściowe kontrolowane przez użytkownika w interfejsie logów. W przypadku istnienia jakiegokolwiek ładunku XSS w zapisanych danych, był on renderowany bez odpowiedniego kodowania wyjścia.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który przed wersją 0.31.0.0 nieprawidłowo sanitizował dane wejściowe kontrolowane przez użytkownika podczas tworzenia lub edytowania tagów bloga. Atakujący może wstrzyknąć złośliwy ładunek JavaScript w pole nazwy tagu, który jest następnie przechowywany na serwerze.

W Mbed TLS w wersjach od 3.5.0 do 4.0.0 odkryto problem, który pozwala na podszywanie się pod klienta podczas wznawiania sesji TLS 1.3.

AIOHTTP to asynchroniczny framework HTTP dla asyncio i Pythona. W wersjach przed 3.13.4, parser C (domyślny w większości instalacji) akceptował bajty null i znaki kontrolne w nagłówkach odpowiedzi. Problem ten został naprawiony w wersji 3.13.4.

W Mbed TLS w wersjach 3.5.x i 3.6.x do 3.6.5 oraz TF-PSA-Crypto 1.0 odkryto problem związany z brakiem zachowania przyczynowego w FFDH z powodu niewłaściwej walidacji danych wejściowych. Używając Diffie-Hellmana w polu skończonym, druga strona może wymusić, aby wspólny sekret znalazł się w małym zbiorze wartości.

Reviactyl to otwartoźródłowy panel zarządzania serwerem gier, który miał podatność w procesie uwierzytelniania OAuth. W wersjach od 26.2.0-beta.1 do przed 26.2.0-beta.5, atakujący mógł automatycznie powiązać konta społecznościowe na podstawie dopasowania adresów e-mail, co prowadziło do przejęcia konta ofiary bez znajomości hasła.

W Mbed TLS do wersji 3.6.5 oraz TF-PSA-Crypto 1.0.0 odkryto problem związany z przepełnieniem bufora, który może wystąpić podczas eksportu kluczy publicznych dla kluczy FFDH.

Payload to darmowy i otwarty system zarządzania treścią bez interfejsu graficznego. Przed wersją 3.79.1 w @payloadcms/graphql i payload występowała podatność w procesie odzyskiwania hasła, która mogła pozwolić nieautoryzowanemu atakującemu na wykonywanie działań w imieniu użytkownika inicjującego reset hasła.