Katalog podatności CVE

W Drupal LocalGov Workflows wykryto brak autoryzacji, umożliwiający atakującemu wymuszone przeglądanie (forceful browsing). Podatność dotyczy wersji od 0.0.0 do 1.6.0.

W module Drupal AlternativeCommerce (Basket) wykryto podatność polegającą na niekontrolowanej modyfikacji dynamicznie określanych atrybutów obiektów, co umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od 0.0.0 do 2.1.17.

Wtyczka OAuth Single Sign On - SSO (OAuth Client) dla WordPressa zawiera podatność na ominięcie uwierzytelniania poprzez alternatywną ścieżkę lub kanał, co umożliwia wykorzystanie mechanizmu odzyskiwania hasła. Problem dotyczy wersji do 38.5.8 włącznie.

OpenReplay w wersjach od 1.24.0 do 1.25.0 zawiera podatność na atak XSS, która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta dashboardu. Atakujący może wysłać złośliwy skrypt poprzez niestandardowe nazwy zdarzeń lub adresy URL stron, które są przechowywane w ClickHouse bez kodowania wyjściowego, a następnie renderowane w dashboardzie, co umożliwia kradzież tokena JWT z localStorage.

Wtyczka miniOrange Social Login and Register dla WordPressa do wersji 7.7.0 zawiera podatność umożliwiającą ominięcie uwierzytelniania i przejęcie konta. Atakujący może wysłać dowolny adres e-mail (np. administratora) do procesu uzupełniania profilu, a następnie wykorzystać słabą przestrzeń OTP (99 000 wartości) i wyciekający hash transakcji, aby odszyfrować kod OTP w czasie poniżej sekundy i zalogować się jako wybrany użytkownik.

FreeRDP w wersjach od 3.21.0 do 3.27.9 zawiera niekompletną poprawkę dla CVE-2026-23530 w funkcji planar_decompress_plane_rle_only w pliku planar.c. Złośliwy serwer RDP może wysłać specjalnie spreparowany ładunek planar RDPGFX_CMDID_WIRETOSURFACE_1, który powoduje odczyt jednego bajtu poza buforem wejściowym.

W 32-bitowych wersjach FreeRDP przed 3.28.0 występuje przepełnienie liczby całkowitej w funkcji update_read_delta_points w pliku libfreerdp/core/orders.c. Atakujący serwer RDP może wykorzystać tę podatność do przydzielenia zbyt małego bufora sterty i zapisu poza jego granice.

Serwer MCP Kubernetes przed wersją 3.9.0 zawiera podatność na wstrzykiwanie argumentów w narzędziach strukturalnych (kubectl_get, kubectl_describe, kubectl_delete), która pozwala atakującym ominąć sprawdzenie bezpieczeństwa assertNoDangerousFlags poprzez podanie parametrów resourceType i name z wiodącymi myślnikami. Atakujący mogą wstrzyknąć flagę --server, aby przekierować polecenia kubectl na kontrolowany przez atakującego serwer API, co powoduje wysłanie zewnętrznie tokena bearer operatora i umożliwia pełne przejęcie klastra.

W systemie SEM-PMP firmy Semtek Informatics Software Consulting Trade Ltd. Co. wykryto podatność na wstrzykiwanie SQL, która umożliwia wykonanie poleceń w wierszu poleceń poprzez manipulację zapytaniami SQL. Problem dotyczy wersji do 23042026 włącznie.

Podatność w Prowler przed wersją 5.30.3 pozwala atakującemu na przejęcie konta w innym tenantcie poprzez manipulację adresem email w odpowiedzi SAML. System ufał domenie email z SAMLResponse przy wyborze tenanta, zamiast wiązać token z zatwierdzoną konfiguracją SAML.

W aplikacji MobilMen 20T firmy Adam Retail Automation Ltd. wykryto podatność na wstrzykiwanie SQL (CWE-89). Luka umożliwia atakującemu manipulację zapytaniami do bazy danych poprzez nieprawidłową neutralizację specjalnych znaków w poleceniach SQL.

Wtyczka bazy danych dla Grav CMS przed wersją 1.2.0 zawiera podatność na wstrzykiwanie SQL w metodzie PDO::tableExists. Nazwa tabeli przekazywana przez kod wtyczki lub programisty jest bezpośrednio interpolowana do surowego zapytania SQL bez sanityzacji, co umożliwia wykonanie dowolnego kodu SQL.

W systemie Invixium IXM WEB w wersji 2.3.85.25 wykryto podatność umożliwiającą eskalację uprawnień poprzez komponent /SystemUsers/CreateAppUser. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.

W 9Router przed wersją 0.4.80 endpoint /api/settings/database umożliwia pełny eksport bazy danych (zawierającej wszystkie poświadczenia, klucze API, tokeny OAuth i ustawienia) oraz pełny import bazy danych (całkowite nadpisanie) bez żadnego uwierzytelnienia poza sprawdzeniem ALWAYS_PROTECTED, które weryfikuje tylko JWT lub token CLI. Luka została naprawiona w wersji 0.4.80.

W wykrywaczu typu pliku (file_type) w bibliotece guardrails-detectors znaleziono podatność, która pozwala zdalnemu atakującemu na dostarczenie dowolnego ciągu XSD. Ciąg ten jest przetwarzany bez odpowiednich ograniczeń, co może prowadzić do żądań po stronie serwera do dowolnych URL-i lub odczytu lokalnych plików.

PraisonAI przed wersją 4.6.78 zawiera podatność na wstrzykiwanie kodu w pliku deploy/api.py. Parametr agents_file jest bezpośrednio interpolowany do f-stringa bez sanityzacji, co pozwala atakującym na wstrzyknięcie dowolnego kodu Python, który wykonuje się podczas uruchamiania wygenerowanego kodu serwera przez subprocess.Popen().

W JetBrains IntelliJ IDEA przed wersją 2026.1.4 oraz 2026.2 wykryto podatność umożliwiającą wykonanie kodu poprzez przejście ścieżki (path traversal) w obsłudze identyfikatora obszaru roboczego projektu.

Podatność w Vikunja przed wersją 2.2.1 umożliwia nieautoryzowany dostęp do skrótów udostępnień oraz pobieranie i usuwanie załączników plików w całej instancji. Błąd autoryzacji w endpointach LinkSharing.ReadAll i GetTaskAttachment pozwala na eskalację uprawnień do poziomu administratora.

Podatność w Dell PowerFlex Manager przed wersją 5.1.0.1 umożliwia wstrzykiwanie poleceń systemu operacyjnego. Wysoko uprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę podczas przetwarzania repozytorium OS, wykonując dowolne polecenia jako root.

W jądrze Linux w module xfrm iptfs funkcja iptfs_consume_frags() nie propaguje flagi SKBFL_SHARED_FRAG podczas przenoszenia fragmentów między buforami gniazd. To może prowadzić do nieprawidłowego szyfrowania w miejscu przez ESP. Podobny błąd został naprawiony w CVE-2026-46300 dla skb_try_coalesce().