CVE-2026-90888

Podatność przepełnienia bufora na stosie oraz brak autoryzacji w Thales Sentinel Keys Server na Windows. Serwer nie sprawdza długości pierwszego pola w żądaniu HTTP, co pozwala atakującemu na przesłanie spreparowanego żądania i potencjalne zdalne wykonanie kodu z uprawnieniami NT AUTHORITY\SYSTEM.

W Kargo (wersje od 0.6.0 do 1.8.14, 1.9.9 i 1.10.8) występują dwie luki autoryzacji w API RBAC ograniczonym do projektu. Użytkownik z delegowanym uprawnieniem do zarządzania rolami lub kontami usług może przyznać uprawnienia wykraczające poza własne, co umożliwia eskalację do poziomu administratora projektu.

HoneySQL konwertuje struktury danych Clojure na SQL. W wersjach od 2.0.0 do 2.7.1392 aplikacje przekazujące dane użytkownika do DSL przez keyword lub symbol mogą generować ciągi SQL podatne na wstrzyknięcie SQL, ponieważ niektóre formatery nie stosują sprawdzania podejrzanych znaków do nazw encji.

PinePods przed wersją 0.9.0 pozwala uwierzytelnionemu użytkownikowi subskrybować kontrolowany przez atakującego kanał RSS, którego adres enclosure jest przechowywany bez walidacji hosta/IP. Serwer wykonuje żądania GET/HEAD do wewnętrznych usług, umożliwiając enumerację usług, ujawnienie danych i kradzież poświadczeń z metadanych chmury.

pgAdmin 4 przed wersją 9.19 zawiera obejście poprawki CVE-2026-17566 w narzędziu Import/Export Data. Nieprawidłowa walidacja ukośnika w podwójnie cytowanym identyfikatorze pozwala ukryć nawias zamykający i wykonać klauzulę TO PROGRAM przez psql na hoście pgAdmin z uprawnieniami konta systemowego.

Wtyczka WordPress FunnelKit Automations w wersjach do 3.8.6.1 zawiera podatność na wstrzyknięcie obiektu PHP (PHP Object Injection), którą można wykorzystać bez uwierzytelnienia.

Wtyczka WordPress Transliterator w wersjach do 2.5.13 zawiera podatność na wstrzyknięcie SQL (SQL Injection), którą można wykorzystać bez uwierzytelnienia.

Motyw WordPress ThemeREX Royal Event w wersjach do 2.0 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu.

Wtyczka WordPress Widget Options w wersjach do 4.2.5 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez użytkownika z uprawnieniami autora.

Wtyczka WordPress SMS Alert Order Notifications w wersjach do 4.0.2 zawiera podatność na eskalację uprawnień, którą można wykorzystać bez uwierzytelnienia.