Katalog podatności CVE

Wersja ralphje Signify przed 0.9.2 zawiera problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez komponenty signed_data.py i context.py.

W Seafile Server w wersjach 13.0.15, 13.0.16-pro, 12.0.14 i wcześniejszych występują wielokrotne podatności typu Stored XSS, które zostały naprawione w wersjach 13.0.17, 13.0.17-pro i 12.0.20-pro. Aplikacja nieprawidłowo sanitizuje wiadomości WebSocket dotyczące aktualizacji struktury dokumentów, co pozwala na wstrzykiwanie złośliwych ładunków JavaScript przez uwierzytelnionych zdalnych atakujących.

Podatność typu Directory Traversal w metodzie extractFile klasy org.codehaus.plexus.util.Expand w bibliotece plexus-utils przed commit 6d780b3378829318ba5c2d29547e0012d5b29642. Umożliwia atakującemu wykonanie dowolnego kodu.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez uczynienie instancji GitLab nieodpowiedzialną z powodu niewłaściwej walidacji danych wejściowych w przetwarzaniu zapytań GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.10 przed 18.8.7, 18.9 przed 18.9.3 oraz 18.10 przed 18.10.1. Luka ta mogła pozwolić nieautoryzowanemu użytkownikowi na wykonanie dowolnych mutacji GraphQL w imieniu autoryzowanych użytkowników z powodu niewystarczającej ochrony CSRF.

W podatności CVE-2026-32546 występuje brak autoryzacji w wtyczce StellarWP Restrict Content, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Restrict Content od n/a do 3.2.22 włącznie.

Podatność CVE-2026-32545 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Taboola Pixel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Taboola Pixel od n/a do 1.1.4 włącznie.

W podatności CVE-2026-32544 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w OOPSpam Anti-Spam. Problem dotyczy wersji OOPSpam Anti-Spam od n/a do 1.2.62.

Podatność CVE-2026-32542 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeFusion Fusion Builder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Fusion Builder od n/a do poniżej 3.15.0.

Podatność CVE-2026-32540 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Bookly, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Bookly od n/a do 26.7 włącznie.

Podatność CVE-2026-32538 dotyczy wtyczki Noor Alam SMTP Mailer, która umożliwia wstrzykiwanie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.1.24 włącznie.

W podatności CVE-2026-32537 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wtyczki Visual Portfolio, Photo Gallery & Post Grid w wersjach od n/a do 3.5.1.

W podatności CVE-2026-32534 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w JoomSky JS Help Desk w wersjach od n/a do 3.0.3. Problem ten może umożliwić atakującym dostęp do wrażliwych danych w bazie danych.

W podatności CVE-2026-32532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce ThemeHunk Contact Form & Lead Form Elementor Builder. Problem dotyczy wersji od n/a do 2.0.1.

W podatności CVE-2026-32531 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Kunco od n/a do poniżej 1.4.5.

W podatności CVE-2026-32530 w systemie WPFunnels Creator LMS występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji Creator LMS od n/a do 1.1.18 włącznie.

Podatność CVE-2026-32529 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Molla, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Molla od n/a do poniżej 1.5.19.

Podatność CVE-2026-32528 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Riode, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Riode od n/a do poniżej 1.6.29.

W podatności CVE-2026-32526 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce VillaTheme Abandoned Cart Recovery dla WooCommerce. Problem ten dotyczy wersji wtyczki od n/a do 1.1.10 włącznie.

Podatność CVE-2026-32522 dotyczy systemu wsparcia biletów WooCommerce, który pozwala na przeprowadzenie ataku typu 'Path Traversal'. Problem ten występuje w wersjach od n/a do poniżej 18.5.