Katalog podatności CVE

Podatność w rozszerzeniu JCE editor dla Joomla umożliwia nieuwierzytelnionym użytkownikom tworzenie nowych profili edytora, co prowadzi do wgrania i wykonania kodu PHP.

Luka w CLI urządzeń Cisco Catalyst SD-WAN (Controller, Manager, Validator) pozwala uwierzytelnionemu lokalnemu atakującemu z uprawnieniami netadmin na wykonanie dowolnych poleceń jako root poprzez przesłanie spreparowanego pliku. Problem wynika z niewystarczającej walidacji danych wejściowych. Cisco odnotowało ograniczone przypadki wykorzystania, które skutkowały zmianą konfiguracji na urządzeniach brzegowych.

SolarWinds Serv-U jest podatny na specjalnie spreparowane żądania POST z użyciem Content-Encoding: deflate, które powodują awarię usługi Serv-U bez uwierzytelnienia.

Podatność typu OS Command Injection w API produktów Progress ADC umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń na urządzeniu LoadMaster poprzez wykorzystanie niesanitizowanych danych wejściowych w wielu punktach końcowych komend.

Luka w Cisco Unified Communications Manager (Unified CM) i Unified CM SME umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku SSRF. Atakujący może zapisywać pliki w systemie operacyjnym, co może prowadzić do eskalacji uprawnień do roota. Wymagane jest włączenie usługi WebDialer (domyślnie wyłączona).

W wielu lokalizacjach istnieje możliwość wykonania kodu z powodu przepełnienia liczby całkowitej. Prowadzi to do lokalnej eskalacji uprawnień bez dodatkowych uprawnień i bez interakcji użytkownika.

Krytyczna podatność w produkcie Oracle Payments (część Oracle E-Business Suite) w wersjach 12.2.3-12.2.15. Nieuwierzytelniony atakujący przez sieć HTTP może przejąć kontrolę nad systemem bez żadnych uprawnień.

Wtyczka Mirasvit Full Page Cache Warmer dla Magento 2 przed wersją 1.11.12 zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez dostarczenie spreparowanego, serializowanego obiektu PHP w ciasteczku CacheWarmer. Atak wykorzystuje nieograniczone wywołanie natywnej funkcji unserialize() oraz łańcuchy gadżetów dostępne w Magento.

Deserializacja niezaufanych danych w Microsoft Office SharePoint pozwala autoryzowanemu atakującemu na zdalne wykonanie kodu przez sieć.

Podatność na iniekcję komend w urządzeniach UniFi OS. Nieprawidłowe walidowanie danych wejściowych umożliwia atakującemu z dostępem do sieci wykonanie dowolnych komend systemowych.

Podatność na Path Traversal w urządzeniach UniFi OS. Atakujący z dostępem do sieci może odczytać pliki systemowe i potencjalnie uzyskać dostęp do konta użytkownika.

Podatność na nieprawidłową kontrolę dostępu w urządzeniach UniFi OS. Atakujący z dostępem do sieci może dokonywać nieautoryzowanych zmian w systemie.

Podatność typu directory traversal w serwerze Apex One (wersja on-premise) umożliwia przedautoryzowanemu lokalnemu atakującemu modyfikację tabeli kluczy na serwerze w celu wstrzyknięcia złośliwego kodu, który zostanie wdrożony na agentach. Atak wymaga dostępu do serwera Apex One i uzyskania wcześniej poświadczeń administracyjnych inną metodą.

Podatność na eskalację uprawnień w wtyczce LiteSpeed User-End cPanel Plugin przed wersją 2.4.5. Atakujący może uzyskać uprawnienia roota. Podatność jest aktywnie wykorzystywana w środowisku naturalnym.

Podatność na iniekcję SQL w rdzeniu Drupala. Nieprawidłowe neutralizowanie specjalnych elementów w zapytaniach SQL umożliwia atakującemu wykonanie dowolnych poleceń SQL.

Podatność w Microsoft Defender prowadząca do odmowy usługi (DoS).

Podatność w Microsoft Defender polegająca na nieprawidłowym rozwiązywaniu dowiązań przed dostępem do pliku („podążanie za dowiązaniem”) umożliwia autoryzowanemu atakującemu lokalną eskalację uprawnień.

W Microsoft Exchange Server występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu 'cross-site scripting'. Taki błąd umożliwia nieautoryzowanemu atakującemu przeprowadzenie oszustwa w sieci.

W podatności CVE-2026-20182 zidentyfikowano problem z mechanizmem uwierzytelniania w Cisco Catalyst SD-WAN Controller, Manager i Validator, który umożliwia nieautoryzowanemu atakującemu ominięcie uwierzytelnienia i uzyskanie uprawnień administracyjnych. Atakujący może wykorzystać tę lukę, wysyłając spreparowane żądania do systemu.

W podatności CVE-2026-0257 występują luki w autoryzacji w portalu GlobalProtect oraz bramie oprogramowania PAN-OS® firmy Palo Alto Networks, które umożliwiają atakującemu ominięcie zabezpieczeń i nawiązanie nieautoryzowanego połączenia VPN.