Katalog podatności CVE

Nieprawidłowe sprawdzenie minimalnej wersji w funkcji aktualizacji niektórych klientów Zoom dla systemu Windows może umożliwić uwierzytelnionemu użytkownikowi przeprowadzenie eskalacji uprawnień poprzez lokalny dostęp.

W Sunbird-Ed SunbirdEd-portal w wersji 1.13.4 odkryto problem związany z CWE-918: Fałszywe Żądanie Serwera. Umożliwia to atakującym uzyskanie poufnych informacji.

W wersjach ClasroomIO przed 0.2.6 występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez punkty końcowe /api/verify oraz /rest/v1/profile.

Wtyczka JetBooking dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'check_in_date' we wszystkich wersjach do i włącznie z 4.0.3. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W wersji OpenClaw 2026.2.19-2 przed 2026.2.21 występuje podatność na wstrzykiwanie poleceń w generowaniu plików jednostek systemd, gdzie wartości środowiskowe kontrolowane przez atakującego nie są weryfikowane pod kątem znaków CR/LF. To pozwala na wstrzyknięcie nowych linii, co umożliwia wyjście z linii Environment= i wstrzyknięcie dowolnych dyrektyw systemd.

Wersje OpenClaw od 2026.2.21 do przed 2026.2.22 oraz @openclaw/voice-call od 2026.2.21 do przed 2026.2.22 akceptują aktualizacje WebSocket dla strumieni mediów przed walidacją strumienia, co pozwala na nawiązywanie połączeń przez nieautoryzowanych klientów.

Wersje OpenClaw przed 2026.2.14 zawierają podatność na traversję ścieżki w funkcji apply_patch, która pozwala atakującym na zapis lub usunięcie plików poza skonfigurowanym katalogiem roboczym. Gdy apply_patch jest włączone bez izolacji systemu plików, atakujący mogą wykorzystać spreparowane ścieżki do ucieczki poza granice katalogu roboczego.

W wersji OpenClaw 2026.2.22-2 przed aktualizacją 2026.2.23 występuje luka w walidacji opcji długich polecenia sort, co pozwala atakującym na ominięcie kontroli flagi odmowy. Atakujący mogą zdalnie wykonywać polecenia sort z użyciem skróconych opcji długich, omijając wymagania zatwierdzenia w trybie listy dozwolonej.

W systemie zarządzania uczelnią itsourcecode w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku /att_add.php. Manipulacja argumentem 'Name' prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.

Wykryto podatność w urządzeniu H3C ACG1000-AK230 do wersji 20260227, która dotyczy nieznanej części pliku /webui/?aaa_portal_auth_local_submit. Manipulacja argumentem suffix prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

Wtyczka Name Directory dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'name_directory_name' we wszystkich wersjach do 1.32.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność CVE-2026-3805 dotyczy narzędzia curl, które przy drugim żądaniu SMB do tego samego hosta błędnie używa wskaźnika danych wskazującego na już zwolnioną pamięć.

Wtyczka Checkout Field Editor (Checkout Manager) dla WooCommerce w WordPressie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez wartości pól radio i checkboxgroup przesyłane przez WooCommerce Block Checkout Store API w wersjach do 2.1.7 włącznie. Problem wynika z metody `prepare_single_field_data()`, która najpierw stosuje `esc_html()`, a następnie odwraca to z użyciem `html_entity_decode()` dla typów pól radio i checkboxgroup.

Wtyczka ExactMetrics – Google Analytics Dashboard dla WordPressa jest podatna na niewłaściwe zarządzanie uprawnieniami w wersjach od 7.1.0 do 9.0.2. Funkcja `update_settings()` akceptuje dowolne nazwy ustawień wtyczki bez listy dozwolonych ustawień, co pozwala uwierzytelnionym atakującym na modyfikację dowolnych ustawień wtyczki.

Wtyczka ExactMetrics – Google Analytics Dashboard dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektu w wersjach od 8.6.0 do 9.0.2. Problem wynika z metody `store_settings()` w klasie `ExactMetrics_Onboarding`, która akceptuje parametr `triggered_by` dostarczany przez użytkownika, co pozwala na ominięcie sprawdzania uprawnień.

Wtyczka Responsive Contact Form Builder & Lead Generation dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting we wszystkich wersjach do i włącznie z 2.0.1, poprzez przesyłanie danych formularza. Problem wynika z niewystarczającej sanitizacji danych wejściowych w funkcji lfb_lead_sanitize(), która pomija niektóre typy pól z listy dozwolonych, oraz zbyt liberalnego filtru wp_kses() przy wyjściu, który pozwala na atrybuty onclick w tagach anchor.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPress jest podatna na ślepą injekcję SQL we wszystkich wersjach do 1.6.9.27 włącznie. Problem wynika z metody `db_where_conditions` w klasie `TD_DB_Model`, która nie zapobiega przekazywaniu parametru `append_where_sql` przez ciała żądań JSON.

Zgłoszono podatność na wstrzykiwanie poleceń, która dotyczy kilku wersji systemu operacyjnego QNAP. Atakujący, mający dostęp do lokalnej sieci oraz konto użytkownika, może wykorzystać tę podatność do wykonywania dowolnych poleceń.

Podatność na wstrzykiwanie SQL w interfejsie personelu Koha, w punkcie /cgi-bin/koha/suggestion/suggestion.pl, spowodowana niewłaściwą walidacją parametru displayby. Może prowadzić do pełnego przejęcia bazy danych.

Wtyczka WP Maps dla WordPressa jest podatna na czasowe, ślepe wstrzykiwanie SQL poprzez parametr 'location_id' we wszystkich wersjach do i włącznie z 4.9.1. Problem wynika z tego, że warstwa abstrakcji bazy danych wtyczki traktuje dane wejściowe użytkownika otoczone znakami backtick jako nazwy kolumn, co omija funkcję `esc_sql()`.