Katalog podatności CVE

Pocket ID, jako dostawca OIDC, przed wersją 2.6.0 nie weryfikował aktualnego stanu autoryzacji użytkownika przy wydawaniu nowych tokenów. Funkcja createTokenFromRefreshToken pozwalała na nieograniczone odświeżanie tokenów po cofnięciu autoryzacji.

YetAnotherForum.NET (YAF.NET) przed wersjami 4.0.5 i 3.2.12 ma lukę, która pozwala na wstrzykiwanie niebezpiecznego kodu HTML przez użytkowników w postach i odpowiedziach. Treści te są przechowywane na serwerze i wyświetlane na stronie wątku bez odpowiedniej sanitizacji HTML.

W YetAnotherForum.NET przed wersjami 4.0.5 i 3.2.12 występuje podatność związana z nieprawidłowym przetwarzaniem nagłówka User-Agent. Aplikacja zapisuje ten nagłówek w dzienniku zdarzeń, a następnie interpoluje go bez odpowiedniego kodowania w HTML, co może prowadzić do ataków XSS.

W YetAnotherForum.NET (YAF.NET) przed wersją 4.0.5 występuje podatność, która pozwala na wykonanie dowolnego SQL przez użytkowników o niskich uprawnieniach. Problem dotyczy obsługi OnPost… w admin panelu, gdzie brak jest odpowiednich kontroli dla zapytań SQL.

Open-WebSearch przed wersją 2.1.7 ma lukę, która nie rozpoznaje zagnieżdżonych literałów IPv6 oraz nie rozwiązuje DNS, co umożliwia nieślepe SSRF z odpowiedzią zwracaną do wywołującego.

Podatność na iniekcję SQL w module Elixir.Postgrex.Notifications biblioteki postgrex dla języka Elixir. Parametr channel przekazywany do funkcji listen/3 i unlisten/3 jest interpolowany bezpośrednio do zapytań SQL LISTEN/UNLISTEN bez odpowiedniego escapowania znaku cudzysłowu. Atakujący, który może wpływać na nazwę kanału, może wstrzyknąć dowolne polecenia SQL, w tym DDL i DML, wykorzystując protokół simple query PostgreSQL. Podatność dotyczy wersji od 0.16.0 do 0.22.2.

W komponencie JavaScript: WebAssembly w przeglądarce Firefox wykryto podatność typu use-after-free. Luka została załatana w wersji Firefox 150.0.3.

W silniku JavaScript przeglądarki Firefox występuje błąd nieprawidłowej kompilacji JIT, który może prowadzić do nieoczekiwanego zachowania. Luka została naprawiona w wersji Firefox 150.0.3.

Podatność CVE-2026-6865 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu, co może prowadzić do nieautoryzowanego dostępu do wrażliwych plików. Problem występuje, gdy dane wejściowe dostarczone przez użytkownika są niewłaściwie przetwarzane na serwerze.

Moduł sesji PAM pam_authnft, który wiąże reguły zapory nftables z sesjami uwierzytelnionymi, miał podatność na nadmiarowe odczyty bufora w wersji przed 0.2.0-alpha. W wyniku tego, złośliwa odpowiedź NETLINK_SOCK_DIAG mogła przejść przez kontrolę rozmiaru wiadomości, co prowadziło do dereferencji poza końcem alokacji.

Dell PowerScale InsightIQ w wersjach od 6.0.0 do 6.2.0 zawiera podatność na wstrzyknięcie poleceń systemowych z powodu niewłaściwego neutralizowania specjalnych elementów. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność do wykonania poleceń.

Podatność w filtrze bezpiecznym (safe filter) powoduje, że po rozwinięciu zmiennych wszystkie kolejne potoki na tym samym łańcuchu są błędnie interpretowane jako bezpieczne, co umożliwia usunięcie escapowania niebezpiecznych danych. Może to prowadzić do ataków SQL lub LDAP injection, szczególnie w kontekście uwierzytelniania.

Siemens Simcenter Femap zawiera podatność na uszkodzenie pamięci podczas analizy specjalnie przygotowanych plików IPT. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.

Występuje podatność na niewystarczającą entropię, która może prowadzić do nieautoryzowanego dostępu, gdy atakujący w sieci wykorzysta słabości w zabezpieczeniach zarządzania sesjami.

W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.

Wtyczka Xpro Elementor Addons zawiera podatność na SQL Injection, która umożliwia przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji od n/a do 1.5.1.

W podatności CVE-2026-45213 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w edytorze woo-bulk-editor RealMag777 BEAR. Problem dotyczy wersji BEAR od n/a do 1.1.7.1 włącznie.

W podatności CVE-2026-45211 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce APIExperts Square dla WooCommerce w wersjach do 4.7.1.

W podatności CVE-2026-42742 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Aman Views dla WPForms. Problem dotyczy wersji Views for WPForms od n/a do 3.4.6.

W podatności CVE-2026-42741 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Ninja Forms Views. Problem dotyczy wersji od n/a do 3.3.2.