CVE Vulnerability Catalog

W Yonyou KSOA 9.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /worksheet/del_work.jsp w komponencie obsługi parametrów HTTP GET. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co może być zainicjowane zdalnie.

W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 znaleziono lukę. Problem dotyczy nieznanej funkcji w pliku /admin/delete_activity.php, gdzie manipulacja argumentem activity_id może prowadzić do wstrzyknięcia SQL.

Zidentyfikowano podatność w EasyCMS do wersji 1.6, która dotyczy nieznanego kodu w pliku /UserAction.class.php. Manipulacja argumentem _order prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w FeMiner wms do wersji 9cad1f1b179a98b9547fd003c23b07c7594775fa, która dotyczy nieznanej funkcjonalności pliku /src/chkuser.php. Manipulacja argumentem Username prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.

W systemie risesoft-y9 Digital-Infrastructure do wersji 9.6.7 zidentyfikowano lukę, która dotyczy nieznanej funkcji w pliku source-code/src/main/java/net/risesoft/util/Y9PlatformUtil.java komponentu REST Authenticate Endpoint. Wykonanie manipulacji może prowadzić do wstrzyknięcia SQL.

Wtyczka Registration & Login with Mobile Phone Number dla WooCommerce w WordPressie jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.3.1. Problem wynika z niewłaściwego weryfikowania tożsamości użytkowników przed ich uwierzytelnieniem przez funkcję fma_lwp_set_session_php_fun().

Wtyczka Demo Importer Plus dla WordPressa jest podatna na atak typu XML External Entity Injection (XXE) we wszystkich wersjach do i włącznie z 2.0.9, poprzez funkcjonalność przesyłania plików SVG. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej wykonanie kodu w podatnych konfiguracjach.

Wtyczka RegistrationMagic dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.0.7.1 włącznie. Problem wynika z funkcji 'add_menu', która jest dostępna przez akcję AJAX 'rm_user_exists', co pozwala na dowolne aktualizacje ustawienia 'admin_order'.

CVE-2026-0517 to podatność typu denial-of-service w wersjach Secure Access Server przed 14.20. Atakujący może wysłać specjalnie przygotowany pakiet do serwera, co powoduje jego awarię.

Gradle to narzędzie do automatyzacji budowy, które w wersjach przed 9.3.0 nie traktowało niektórych wyjątków jako błędów krytycznych, co pozwalało na kontynuowanie procesu budowy z innymi repozytoriami. W przypadku wystąpienia wyjątków, takich jak NoHttpResponseException, Gradle mógł przejść do kolejnego repozytorium, co stwarzało ryzyko wykorzystania złośliwych artefaktów.

Gradle to narzędzie do automatyzacji budowy, które w wersjach przed 9.3.0 nie traktowało niektórych wyjątków jako błędów krytycznych, co mogło prowadzić do kontynuacji procesu budowy mimo wystąpienia problemów z zależnościami. W przypadku napotkania nierozwiązywalnej nazwy hosta, Gradle mógł kontynuować działanie, jeśli inne zależności były dostępne z innego repozytorium.

In node-tar library up to version 7.5.2, the linkpath of Link (hardlink) and SymbolicLink entries is not sanitized when preservePaths is false (the default secure behavior). This allows malicious archives to bypass the extraction root restriction, leading to Arbitrary File Overwrite via hardlinks and Symlink Poisoning via absolute symlink targets.

Nieprawidłowe zarządzanie uprawnieniami w Microsoft Edge (oparty na Chromium) pozwala autoryzowanemu atakującemu na lokalne obejście funkcji zabezpieczeń.

Nieprawidłowa autoryzacja w Microsoft Power Apps umożliwia autoryzowanemu atakującemu wykonanie kodu w sieci.

Podatność CVE-2026-23800 dotyczy niewłaściwego przypisania uprawnień w module Modular DS, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Modular DS od 2.5.2 do przed 2.6.0.

MCPJam inspector to platforma do lokalnego rozwoju dla serwerów MCP. Wersje 1.4.2 i wcześniejsze są podatne na zdalne wykonanie kodu (RCE), co pozwala atakującemu na wysłanie spreparowanego żądania HTTP, które uruchamia instalację serwera MCP, prowadząc do RCE.

Skipper to router HTTP i reverse proxy dla kompozycji usług. W domyślnej konfiguracji przed wersją 0.23.0 istniała możliwość tworzenia filtrów lua przez nieufnych użytkowników, co mogło prowadzić do odczytu systemu plików oraz tajemnic Skippera.

GraphQL Modules is a toolset of libraries and guidelines for creating modules for a GraphQL server. In versions from 2.2.1 to before 2.4.1 and 3.1.1, when 2 or more parallel requests trigger the same service, the context of the requests is mixed up in the service when the context is injected via @ExecutionContext(). ExecutionContext is often used to pass authentication tokens from incoming requests to services loading data from backend APIs. This vulnerability is fixed in 2.4.1 and 3.1.1.

WeGIA is a web manager for charitable institutions. Prior to version 3.6.2, an authenticated SQL Injection vulnerability was identified in the Atendido_ocorrenciaControle endpoint via the id_memorando parameter. This flaw allows for full database exfiltration, exposure of sensitive PII, and potential arbitrary file reads in misconfigured environments. This vulnerability is fixed in 3.6.2.

WeGIA is a Web Manager for Charitable Institutions. Prior to 3.6.2, a Reflected Cross-Site Scripting (XSS) vulnerability was discovered in the WeGIA system, specifically within the html/memorando/insere_despacho.php file. The application fails to properly sanitize or encode user-supplied input via the id_memorando GET parameter before reflecting it into the HTML source (likely inside a <script> block or an attribute). This allows unauthenticated attackers to inject arbitrary JavaScript or HTML into the context of the user's browser session. This vulnerability is fixed in 3.6.2.