Katalog podatności CVE

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 16.11 przed 18.7.6, 18.8 przed 18.8.6 oraz 18.9 przed 18.9.2. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie stanu odmowy usługi z powodu niewłaściwej walidacji danych wejściowych podczas przetwarzania specjalnie przygotowanych ładunków JSON w API chronionych gałęzi.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 10.0 przed 18.7.6, 18.8 przed 18.8.6 oraz 18.9 przed 18.9.2. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych żądań do punktów końcowych archiwum repozytoriów w określonych warunkach.

W silniku Forcepoint NGFW występuje problem z wykonywaniem operacji z niepotrzebnymi uprawnieniami, co umożliwia lokalne podniesienie uprawnień. Problem ten dotyczy wersji silnika NGFW od 6.10.19 do 7.3.0, 7.2.4 oraz 7.1.10.

Coppermine Photo Gallery w wersjach od 1.6.09 do 1.6.27 jest podatna na path traversal. Nieuwierzytelniony zdalny atakujący może wykorzystać podatny endpoint i skonstruować payloady umożliwiające odczyt zawartości dowolnego pliku dostępnego dla procesu serwera webowego. Problem naprawiono w wersji 1.6.28.

Nieprawidłowe zarządzanie uprawnieniami w niektórych klientach Zoom dla systemu Windows może umożliwić uwierzytelnionemu użytkownikowi przeprowadzenie eskalacji uprawnień za pomocą dostępu lokalnego.

Nieprawidłowa walidacja danych wejściowych w Zoom Rooms dla systemu Windows przed wersją 6.6.5 w trybie kiosku może umożliwić uwierzytelnionemu użytkownikowi przeprowadzenie eskalacji uprawnień poprzez lokalny dostęp.

Nieprawidłowe sprawdzenie minimalnej wersji w funkcji aktualizacji niektórych klientów Zoom dla systemu Windows może umożliwić uwierzytelnionemu użytkownikowi przeprowadzenie eskalacji uprawnień poprzez lokalny dostęp.

W Sunbird-Ed SunbirdEd-portal w wersji 1.13.4 odkryto problem związany z CWE-918: Fałszywe Żądanie Serwera. Umożliwia to atakującym uzyskanie poufnych informacji.

W wersjach ClasroomIO przed 0.2.6 występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez punkty końcowe /api/verify oraz /rest/v1/profile.

Wtyczka JetBooking dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'check_in_date' we wszystkich wersjach do i włącznie z 4.0.3. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W wersji OpenClaw 2026.2.19-2 przed 2026.2.21 występuje podatność na wstrzykiwanie poleceń w generowaniu plików jednostek systemd, gdzie wartości środowiskowe kontrolowane przez atakującego nie są weryfikowane pod kątem znaków CR/LF. To pozwala na wstrzyknięcie nowych linii, co umożliwia wyjście z linii Environment= i wstrzyknięcie dowolnych dyrektyw systemd.

Wersje OpenClaw od 2026.2.21 do przed 2026.2.22 oraz @openclaw/voice-call od 2026.2.21 do przed 2026.2.22 akceptują aktualizacje WebSocket dla strumieni mediów przed walidacją strumienia, co pozwala na nawiązywanie połączeń przez nieautoryzowanych klientów.

Wersje OpenClaw przed 2026.2.14 zawierają podatność na traversję ścieżki w funkcji apply_patch, która pozwala atakującym na zapis lub usunięcie plików poza skonfigurowanym katalogiem roboczym. Gdy apply_patch jest włączone bez izolacji systemu plików, atakujący mogą wykorzystać spreparowane ścieżki do ucieczki poza granice katalogu roboczego.

W wersji OpenClaw 2026.2.22-2 przed aktualizacją 2026.2.23 występuje luka w walidacji opcji długich polecenia sort, co pozwala atakującym na ominięcie kontroli flagi odmowy. Atakujący mogą zdalnie wykonywać polecenia sort z użyciem skróconych opcji długich, omijając wymagania zatwierdzenia w trybie listy dozwolonej.

W systemie zarządzania uczelnią itsourcecode w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /att_add.php. Manipulacja argumentem 'Name' prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.

Wykryto podatność w urządzeniu H3C ACG1000-AK230 do wersji 20260227, która dotyczy nieznanej części pliku /webui/?aaa_portal_auth_local_submit. Manipulacja argumentem suffix prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

Wtyczka Name Directory dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'name_directory_name' we wszystkich wersjach do 1.32.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność CVE-2026-3805 dotyczy narzędzia curl, które przy drugim żądaniu SMB do tego samego hosta błędnie używa wskaźnika danych wskazującego na już zwolnioną pamięć.

Wtyczka Checkout Field Editor (Checkout Manager) dla WooCommerce w WordPressie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez wartości pól radio i checkboxgroup przesyłane przez WooCommerce Block Checkout Store API w wersjach do 2.1.7 włącznie. Problem wynika z metody `prepare_single_field_data()`, która najpierw stosuje `esc_html()`, a następnie odwraca to z użyciem `html_entity_decode()` dla typów pól radio i checkboxgroup.

Wtyczka ExactMetrics – Google Analytics Dashboard dla WordPressa jest podatna na niewłaściwe zarządzanie uprawnieniami w wersjach od 7.1.0 do 9.0.2. Funkcja `update_settings()` akceptuje dowolne nazwy ustawień wtyczki bez listy dozwolonych ustawień, co pozwala uwierzytelnionym atakującym na modyfikację dowolnych ustawień wtyczki.