Katalog podatności CVE

W bibliotece PyMuPDF w wersji 1.26.5 wykryto podatność na przechodzenie ścieżek i dowolny zapis plików. Luka znajduje się w funkcji get w pliku '_main_.py'.

Funkcja testowania połączenia z zarządzaniem bazą danych w wgcloud w wersji 3.6.3 zawiera podatność typu server-side request forgery (SSRF). Wykorzystanie tej luki może umożliwić serwerowi wysyłanie żądań do wewnętrznej sieci oraz zdalne pobieranie złośliwych plików.

W bibliotece libarchive odkryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci sterty podczas przetwarzania archiwów RAR. Problem wynika z nieprawidłowej walidacji rozmiaru okna przesuwnego LZSS po zmianie metody kompresji.

W wersji 4.5.0 Devome GRR odkryto wiele podatności na uwierzytelnione ataki SQL injection w pliku include/session.inc.php, które można wykorzystać poprzez referer i user-agent.

Podatność CVE-2026-27043 w ThemeGoods Photography umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co prowadzi do ataków typu Path Traversal. Problem ten dotyczy wersji Photography przed 7.7.6.

W UniFi Network Application zidentyfikowano podatność typu Authenticated NoSQL Injection, która może umożliwić złośliwemu użytkownikowi z uwierzytelnionym dostępem do sieci eskalację uprawnień.

Narzędzie infocmp w ncurses przed wersją 6.5-20251213 zawiera podatność na przepełnienie bufora na stosie w funkcji analyze_string w pliku progs/infocmp.c.

Wersje BMC FootPrints ITSM od 20.20.02 do 20.24.01.001 zawierają podatność na deserializację niezaufanych danych w obsłudze VIEWSTATE w serwletach ASP.NET, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu. Atakujący mogą dostarczyć spreparowane obiekty serializowane do parametru VIEWSTATE, co prowadzi do zdalnego wykonania kodu i pełnego kompromitowania aplikacji.

Wersje BMC FootPrints ITSM od 20.20.02 do 20.24.01.001 zawierają podatność na obejście uwierzytelniania z powodu niewłaściwego egzekwowania filtrów bezpieczeństwa na zastrzeżonych punktach końcowych REST API i serwletach. Atakujący zdalni, nieposiadający uwierzytelnienia, mogą obejść kontrole dostępu i uzyskać nieautoryzowany dostęp do danych aplikacji oraz modyfikować zasoby systemowe.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPress jest podatna na atak typu SQL Injection poprzez parametr 'fields' we wszystkich wersjach do 1.6.10.0 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W podatności CVE-2026-3511 występuje niewłaściwe ograniczenie odniesienia do zewnętrznych jednostek XML w pliku XMLUtils.java w aplikacji Slovensko.Digital Autogram. Umożliwia to zdalnemu, nieautoryzowanemu atakującemu przeprowadzenie ataków SSRF (Server Side Request Forgery) i uzyskanie nieautoryzowanego dostępu do lokalnych plików na systemach plików uruchamiających podatną aplikację.

Podatność CVE-2026-27070 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPEverest Everest Forms Pro, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji Everest Forms Pro od n/a do 1.9.10.

Podatność CVE-2026-27068 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w serwisie Ryan Howard Website LLMs.txt. Problem ten dotyczy wersji od n/a do 8.2.6 włącznie.

Podatność CVE-2026-25445 dotyczy deserializacji niezaufanych danych w oprogramowaniu Membership Software WishList Member X, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WishList Member X od n/a do 3.29.0.

W Dotstore Fraud Prevention dla WooCommerce występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Fraud Prevention dla WooCommerce od n/a do 2.3.3.

Podatność CVE-2026-25442 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w QantumThemes Kentha, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Kentha od n/a do 4.7.2.

Podatność CVE-2026-25438 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeHunk Gutenberg Blocks, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gutenberg Blocks od n/a do 1.2.8 włącznie.

Podatność CVE-2025-68836 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Markbeljaars Table of Contents Creator, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.6.4.1.

W podatności CVE-2025-67618 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ArtstudioWorks Brookside, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Brookside od n/a do 1.4.

Podatność CVE-2025-53222 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w tagDiv Opt-In Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.7.3 włącznie.