Katalog podatności CVE

Podatność CVE-2026-25326 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten dotyczy CMSMasters Content Composer w wersjach od n/a do 1.4.5.

Podatność na deserializację niezaufanych danych w Brainstorm Force CartFlows umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji CartFlows od n/a do 2.1.19 włącznie.

W podatności CVE-2026-23805 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Media Search Enhanced. Problem ten dotyczy wersji od n/a do 0.9.1 włącznie.

W podatności CVE-2026-23547 występuje brak autoryzacji w komponencie CMSMasters Content Composer, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.5.8.

Podatność na deserializację niezaufanych danych w Valenti pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Valenti od n/a do 5.6.3.5.

W WPFunnels Mail Mint występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Mail Mint od n/a do 1.19.4 włącznie.

Podatność CVE-2026-22333 dotyczy deserializacji niezaufanych danych w wtyczce YITH WooCommerce Compare, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.6.0 włącznie.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /admin/manage_register.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 odkryto lukę. Problem dotyczy nieznanej funkcjonalności pliku /admin/ajax.php?action=login w komponencie logowania administratora, co prowadzi do możliwości wstrzyknięcia SQL.

W systemie zarządzania wydarzeniami itsourcecode w wersji 1.0 wykryto podatność. Manipulacja argumentem ID w pliku /admin/manage_booking.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

OpenClaw to osobisty asystent AI, który w wersjach 2026.1.30 i poniżej, jeśli `channels.telegram.webhookSecret` nie jest ustawiony w trybie webhook Telegram, może akceptować żądania HTTP webhook bez weryfikacji nagłówka tokena sekretnego Telegramu. Może to prowadzić do przetwarzania fałszywych aktualizacji Telegramu przez atakującego.

Gogs to otwartoźródłowa usługa Git, która w wersjach 0.13.4 i poniżej ma lukę w kontroli dostępu, umożliwiającą współpracownikom z uprawnieniami do zapisu usunięcie chronionych gałęzi, w tym gałęzi domyślnej, poprzez wysłanie bezpośredniego żądania POST. Ta podatność pozwala na eskalację uprawnień z poziomu zapisu do poziomu administratora.

Wtyczka Orderable – WordPress Restaurant Online Ordering System i Food Ordering Plugin jest podatna na nieautoryzowaną instalację wtyczek z powodu braku sprawdzenia uprawnień w funkcji 'install_plugin' we wszystkich wersjach do 1.20.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, instalację dowolnych wtyczek, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Toret Manager dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcjach 'trman_save_option' oraz 'trman_save_option_items' we wszystkich wersjach do 1.2.7 włącznie. Umożliwia to atakującym z poziomem dostępu Subskrybenta i wyżej aktualizację dowolnych opcji na stronie WordPress.

Narzędzie com.epson.InstallNavi.helper, dostarczane z instalatorem sterownika drukarki EPSON, zawiera podatność na eskalację uprawnień lokalnych z powodu wielu błędów w implementacji. Nieprawidłowo uwierzytelnia klientów w protokole XPC i nie egzekwuje poprawnie modelu autoryzacji macOS, co naraża funkcjonalność z uprawnieniami na dostęp ze strony nieufnych użytkowników.

Wtyczka IDonate – System Zarządzania Krwiodawstwem i Żądaniami jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji idonate_donor_profile() w wersjach od 2.1.5 do 2.1.9. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, przejęcie dowolnego konta poprzez przypisanie nowego adresu e-mail i zainicjowanie resetu hasła.

Wtyczka BackWPup – WordPress Backup & Restore Plugin dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji save_site_option() we wszystkich wersjach do 5.6.2 włącznie.

Wtyczka WP Customer Reviews dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametr 'wpcr3_fname' we wszystkich wersjach do 3.7.5 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które zostaną wykonane, jeśli uda im się oszukać użytkownika do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka WP AUDIO GALLERY dla WordPressa jest podatna na nieautoryzowany odczyt dowolnych plików we wszystkich wersjach do 2.0 włącznie. Problem wynika z niewystarczających kontroli uprawnień oraz braku weryfikacji nonce w funkcji 'wpag_htaccess_callback'.

Wtyczka CTX Feed – WooCommerce Product Feed Manager dla WordPressa jest podatna na nieautoryzowaną instalację dowolnych wtyczek z powodu braku sprawdzenia uprawnień w funkcji woo_feed_plugin_installing() w wersjach do 6.6.11 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Menedżera Sklepu i wyżej instalację dowolnych wtyczek, co może prowadzić do zdalnego wykonania kodu.