Katalog podatności CVE

W Spring Data Geode wykryto podatność typu zip-slip polegającą na przechodzeniu ścieżek w funkcji importowania migawek. Umożliwia ona atakującym zapisywanie plików poza zamierzonym katalogiem ekstrakcji. Podatność dotyczy wyłącznie systemu Windows.

OpenSourcePOS w wersji 3.4.1 zawiera podatność typu Local File Inclusion (LFI) w funkcji Sales.php::getInvoice(). Atakujący może odczytać dowolne pliki na serwerze WWW, manipulując konfiguracją typu faktury.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą parametrów selectgroup i gn na końcówce /?Function=Groups.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr funkcji.

W oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a występuje problem, który pozwala zdalnemu atakującemu na uzyskanie poufnych informacji za pomocą parametru zapytania sid.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

Router Wi-Fi jest podatny na ataki deautoryzacyjne z powodu braku ochrony ramek zarządzających, co pozwala na nadawanie sfałszowanych ramek deautoryzacji i rozłączenia bez autoryzacji lub szyfrowania. Atakujący może wykorzystać to do powodowania nieautoryzowanych zakłóceń oraz stworzenia warunków odmowy usługi.

Podstawowy PLC urządzenia może być zdalnie wpływany, bez odpowiednich zabezpieczeń lub uwierzytelnienia. To stwarza poważne zagrożenie dla integralności systemu.

Wbudowany interfejs webowy urządzenia nie obsługuje HTTPS/TLS do uwierzytelniania i wykorzystuje podstawowe uwierzytelnianie HTTP. Ruch jest kodowany, ale nie jest szyfrowany, co naraża dane uwierzytelniające użytkowników na pasywną intercepcję przez atakujących w tej samej sieci.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, dotycząca funkcji sub_44EFB4 w pliku /goform/formReleaseConnect w interfejsie zarządzania przez sieć. Manipulacja argumentem Isp_Name prowadzi do wstrzyknięcia poleceń systemowych.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, która dotyczy funkcji sub_44D264 w pliku /goform/formPdbUpConfig interfejsu zarządzania przez sieć. Manipulacja argumentem policyNames prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2026-27072 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce PixelYourSite. Problem ten dotyczy wersji od n/a do 11.2.0.1.

W podatności CVE-2026-24959 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w JoomSky JS Help Desk w wersjach od n/a do 3.0.1.

Podatność CVE-2026-24955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczkach Whizz. Umożliwia to atak typu Reflected XSS w wersjach wtyczek od n/a do 1.9.

Podatność CVE-2026-24950 dotyczy błędu w kontroli dostępu w wtyczce Authorsy, który pozwala na obejście autoryzacji poprzez wykorzystanie klucza kontrolowanego przez użytkownika. Problem ten występuje w wersjach od n/a do 1.0.6.

Podatność CVE-2026-24949 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeGoods PhotoMe, co prowadzi do ataków typu Cross-site Scripting (XSS) opartych na DOM. Problem ten dotyczy wersji PhotoMe od n/a do 5.7.1 włącznie.

Podatność CVE-2026-24948 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczkach Reflector od fox-themes, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Reflector od n/a do 1.2.2 włącznie.

W podatności CVE-2026-24943 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ThemeGoods Grand Conference, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Grand Conference od n/a do 5.3.4 włącznie.

W podatności CVE-2026-24941 występuje brak autoryzacji w wtyczce WP Job Portal, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji WP Job Portal od n/a do 2.4.4.