CVE Vulnerability Catalog

Wtyczka SEO Flow autorstwa LupsOnline dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach checkBlogAuthentication() i checkCategoryAuthentication() we wszystkich wersjach do 2.2.1 włącznie. Funkcje te implementują jedynie podstawową autoryzację klucza API, nie przeprowadzając jednak sprawdzenia uprawnień WordPressa.

Wtyczka Infility Global dla WordPressa jest podatna na nieautoryzowaną injekcję SQL poprzez akcję API 'infility_get_data' we wszystkich wersjach do i włącznie z 2.14.46. Problem wynika z niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Podatność CVE-2026-1819 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ViPort, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji ViPort do 23012026.

A vulnerability in GalaxyDiagnostics prior to version 3.5.050 is caused by improper input validation. It allows local privileged attackers to execute privileged commands.

Nieprawidłowy eksport komponentów aplikacji na Androida w Samsung Dialer przed wydaniem SMR luty-2026 pozwala lokalnym atakującym na uruchamianie dowolnych działań z uprawnieniami Samsung Dialer.

Nieprawidłowe zarządzanie uprawnieniami w Ustawieniach przed wydaniem SMR luty-2026 Release 1 umożliwia lokalnym atakującym uruchamianie dowolnych działań z uprawnieniami Ustawień.

Wtyczka WP FOFT Loader dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typu pliku w funkcji 'WP_FOFT_Loader_Mimes::file_and_ext' we wszystkich wersjach do 2.1.39 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej przesyłanie dowolnych plików na serwerze dotkniętej witryny.

A Type Confusion vulnerability in Hancom Office allows file content injection. Affects Hancom Office 2018, 2020, 2022, and 2024 before specific patches.

An arbitrary file overwrite vulnerability in the file import process of Comic Book Reader v1.0.95 allows attackers to overwrite critical internal files, potentially leading to arbitrary code execution or exposure of sensitive information.

A path traversal vulnerability in Moo Chan Song v4.5.7 allows attackers to write files to internal storage, potentially causing a Denial of Service (DoS).

Adapter Synectix LAN 232 TRIO 3-Port, służący do konwersji sygnału szeregowego na ethernet, udostępnia interfejs zarządzania siecią bez wymogu uwierzytelnienia. Umożliwia to nieautoryzowanym użytkownikom modyfikację krytycznych ustawień urządzenia lub przywrócenie ustawień fabrycznych.

W ingress-nginx odkryto problem bezpieczeństwa, w którym pole `rules.http.paths.path` Ingress może być wykorzystane do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

Stacja sejsmiczna MOMA w wersji v2.4.2520 i wcześniejszych udostępnia interfejs zarządzania przez sieć bez wymogu uwierzytelnienia. Może to pozwolić nieautoryzowanemu atakującemu na modyfikację ustawień konfiguracyjnych, pozyskanie danych urządzenia lub zdalne zresetowanie urządzenia.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja Ingress `nginx.ingress.kubernetes.io/auth-method` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia sekretów dostępnych dla kontrolera.

School ERP Pro w wersji 1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym użytkownikom admina na przesyłanie dowolnych plików PHP jako zdjęcia profilowe, omijając kontrole rozszerzeń plików. Atakujący mogą wykorzystać niewłaściwą walidację plików w pliku pre-editstudent.inc.php do wykonania dowolnego kodu na serwerze.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który oferuje gotową do produkcji, modułową architekturę z autoryzacją RBAC i wsparciem dla motywów. Przed wersją 0.28.5.0, uwierzytelniony użytkownik z uprawnieniami edytora plików mógł osiągnąć zdalne wykonanie kodu (RCE) poprzez wykorzystanie punktów końcowych do tworzenia i zapisywania plików, co pozwalało na przesyłanie i wykonywanie dowolnego kodu PHP na serwerze.

In Fastify prior to version 5.7.2, a validation bypass vulnerability exists where request body validation schemas specified by Content-Type can be circumvented. By appending a tab character (\t) followed by arbitrary content to the Content-Type header, attackers can bypass body validation while the server still processes the body as the original content type.

W frameworku Qwik, przed wersją 1.19.0, występuje podatność na zanieczyszczenie prototypu w funkcji formToObj() w middleware @builder.io/qwik-city. Funkcja ta przetwarza nazwy pól formularzy z użyciem notacji kropkowej, ale nie sanitizuje niebezpiecznych nazw właściwości, co umożliwia atakującym zdalne zanieczyszczenie Object.prototype.

Avation Light Engine Pro udostępnia swoje interfejsy konfiguracyjne i kontrolne bez jakiejkolwiek autoryzacji lub kontroli dostępu. To może prowadzić do nieautoryzowanego dostępu do krytycznych ustawień systemu.

Edimax EW-7438RPn w wersji 1.13 zawiera podatność na ujawnienie informacji, która eksponuje szczegóły konfiguracji sieci WiFi poprzez plik wlencrypt_wiz.asp. Atakujący mogą uzyskać dostęp do skryptu, aby wydobyć wrażliwe informacje, w tym nazwę sieci WiFi oraz hasło w postaci niezaszyfrowanej przechowywane w zmiennych konfiguracyjnych urządzenia.