Katalog podatności CVE

Winstone Servlet Engine w wersji do 0.9.10 zawiera podatność na traversję ścieżek, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez wysyłanie żądań HTTP GET z sekwencjami dot-dot-slash. Atakujący mogą uzyskać dostęp do plików poza katalogiem webroot, co może prowadzić do ujawnienia wrażliwych danych.

W wersjach Forminator do 1.53.1 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

W wersjach JS Help Desk do 3.1.1 występuje podatność, która pozwala subskrybentom na dowolne usuwanie plików.

Podatność typu PHP Object Injection wtyczki EventPrime w wersjach do 4.3.4.1 umożliwia subskrybentom wstrzyknięcie złośliwych obiektów PHP. Może to prowadzić do zdalnego wykonania kodu lub innych nieautoryzowanych działań na serwerze.

Wtyczka TablePress dla WordPressa w wersji 3.3.1 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Osoba atakująca może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Wersje Post Snippets do 4.0.19 zawierają podatność na zdalne wykonanie kodu (RCE), co może umożliwić atakującym uruchomienie nieautoryzowanego kodu na serwerze.

W wersjach Advanced Order Export For WooCommerce do 4.0.9 występuje podatność na Cross Site Scripting (XSS), która może być wykorzystana przez atakujących do wstrzykiwania złośliwego kodu.

Podatność typu Reflected XSS w wtyczce Master Slider do WordPressa, wersje do 3.11.5 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia odbity atak XSS.

W wersjach H5P do 1.17.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność typu Stored XSS w wtyczce WP Activity Log firmy Melapress. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie skryptu. Problem dotyczy wersji od n/a do 5.6.3.1.

Podatność w APIExperts Square dla WooCommerce pozwala na wstrzyknięcie wrażliwych informacji do wysyłanych danych, co umożliwia ich późniejsze odzyskanie.

Podatność umożliwia nieuwierzytelnionemu atakującemu wczytanie dowolnego pliku lokalnego na serwerze wtyczki MDTF w wersjach do 1.3.8 włącznie.

Wtyczka CheckView Automated Testing w wersji 2.1.0 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym złamanie kontroli dostępu. Podatność pozwala na nieautoryzowany dostęp do funkcji testowania bez wymaganego uwierzytelnienia.

Brak autoryzacji w wtyczkach Royal MCP umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji Royal MCP od n/a do 1.4.25.

W wersjach Vitepos do 3.4.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.

Wersje WC Vendors Marketplace do 2.6.8 zawierają podatność na atak typu SQL Injection, który może być wykorzystany przez subskrybentów.

Wtyczka Five Star Restaurant Reservations w wersji 2.7.19 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji rezerwacji bez wymaganego uwierzytelnienia.

W podatności CVE-2026-54829 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WP Photo Album Plus.

Wersje Motors do 1.4.109 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.

Podatność SQL Injection w modułach SALESmanago i Leadoo w wersjach do 3.11.2 pozwala na nieautoryzowany dostęp do bazy danych poprzez wstrzykiwanie złośliwych zapytań SQL.