Katalog podatności CVE

IBM InfoSphere Information Server w wersjach od 11.7.0.0 do 11.7.1.6 przechowuje dane uwierzytelniające użytkowników oraz inne wrażliwe informacje w postaci niezaszyfrowanej, co umożliwia ich odczyt przez lokalnego użytkownika.

Podatność w serwerze NATS-Server umożliwia ujawnienie statycznych poświadczeń przekazanych w argumentach wiersza poleceń (argv) poprzez endpoint `/debug/vars`. Jeśli włączony jest port monitorujący, każdy użytkownik mający do niego dostęp może odczytać te poświadczenia.

Podatność w serwerze NATS-Server przed wersjami 2.11.15 i 2.12.6 pozwala klientowi z dostępem do portu leafnode na wysłanie spreparowanej wiadomości przed autoryzacją, co powoduje awarię serwera.

W serwerze NATS-Server przed wersjami 2.11.15 i 2.12.6 listy kontroli dostępu (ACL) dla tematów wiadomości nie były stosowane w przestrzeni nazw $MQTT.>, co umożliwiało klientom MQTT ominięcie kontroli ACL dla tematów MQTT. Luka została naprawiona w wersjach 2.11.15 i 2.12.6.

W serwerze NATS-Server przed wersjami 2.11.15 i 2.12.6, w przypadku wdrożeń MQTT używających kodów użytkownika/haseł, hasła MQTT są błędnie klasyfikowane jako nieuwierzytelniające oświadczenie tożsamości (JWT) i ujawniane przez punkty końcowe monitorowania.

Podatność w serwerze NATS-Server umożliwia atakującemu zdalne wywołanie paniki i zatrzymanie serwera przed uwierzytelnieniem. Problem występuje, gdy włączona jest konfiguracja leafnode (domyślnie wyłączona) oraz kompresja (domyślnie włączona dla leafnode).

W serwerze NATS-Server w wersjach od 2.2.0 do 2.11.14 i 2.12.5 brak walidacji ramki WebSockets może spowodować panikę serwera. Podatność występuje przed autoryzacją i jest dostępna dla każdego, kto może połączyć się z portem WebSockets.

Modoboa to platforma do hostingu i zarządzania pocztą. W wersjach przed 2.7.1 funkcja `exec_cmd()` w pliku `modoboa/lib/sysutils.py` zawsze uruchamia polecenia subprocess z `shell=True`, co pozwala na wstrzykiwanie metakarakterów powłoki w nazwach domen.

CVE-2025-70952 dotyczy podatności typu path traversal w funkcji extract() w pliku Unzip.java w wersjach pf4j przed 20c2f80. Niewłaściwe przetwarzanie nazw wpisów zip może prowadzić do ataków typu directory traversal lub Zip Slip z powodu braku odpowiedniej normalizacji i walidacji ścieżek.

Wersja ralphje Signify przed 0.9.2 zawiera problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez komponenty signed_data.py i context.py.

W Seafile Server w wersjach 13.0.15, 13.0.16-pro, 12.0.14 i wcześniejszych występują wielokrotne podatności typu Stored XSS, które zostały naprawione w wersjach 13.0.17, 13.0.17-pro i 12.0.20-pro. Aplikacja nieprawidłowo sanitizuje wiadomości WebSocket dotyczące aktualizacji struktury dokumentów, co pozwala na wstrzykiwanie złośliwych ładunków JavaScript przez uwierzytelnionych zdalnych atakujących.

Podatność typu Directory Traversal w metodzie extractFile klasy org.codehaus.plexus.util.Expand w bibliotece plexus-utils przed commit 6d780b3378829318ba5c2d29547e0012d5b29642. Umożliwia atakującemu wykonanie dowolnego kodu.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez uczynienie instancji GitLab nieodpowiedzialną z powodu niewłaściwej walidacji danych wejściowych w przetwarzaniu zapytań GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.10 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Luka ta mogła pozwolić nieautoryzowanemu użytkownikowi na wykonanie dowolnych mutacji GraphQL w imieniu autoryzowanych użytkowników z powodu niewystarczającej ochrony CSRF.

W podatności CVE-2026-32546 występuje brak autoryzacji w wtyczce StellarWP Restrict Content, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Restrict Content od n/a do 3.2.22 włącznie.

Podatność CVE-2026-32545 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Taboola Pixel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Taboola Pixel od n/a do 1.1.4 włącznie.

W podatności CVE-2026-32544 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w OOPSpam Anti-Spam. Problem dotyczy wersji OOPSpam Anti-Spam od n/a do 1.2.62.

Podatność CVE-2026-32542 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeFusion Fusion Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Fusion Builder od n/a do poniżej 3.15.0.

Podatność CVE-2026-32540 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Bookly, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Bookly od n/a do 26.7 włącznie.

Podatność CVE-2026-32538 dotyczy wtyczki Noor Alam SMTP Mailer, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.1.24 włącznie.