Katalog podatności CVE

Motyw WordPress Zoner Real Estate w wersji 4.1.1 zawiera podatność na trwałe skrypty międzywitrynowe, która pozwala uwierzytelnionym agentom na wstrzykiwanie złośliwych skryptów przez pole adresu podczas tworzenia nieruchomości.

Joomla com_jsjobs w wersji 1.2.6 zawiera podatność na nieautoryzowane usuwanie plików, która pozwala uwierzytelnionym atakującym na usunięcie plików poprzez manipulację parametrami custom userfield. Atakujący mogą wysyłać żądania POST do zadania job.savejob z sekwencjami przejścia ścieżki w parametrze field_2, aby usunąć dowolne pliki dostępne dla serwera WWW.

GigToDo w wersji 1.3 zawiera podatność na trwałe ataki typu cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym na wstrzykiwanie złośliwego kodu JavaScript i HTML przez pole opisu propozycji.

Live Chat Unlimited w wersji 2.8.3 zawiera podatność na przechowywane skrypty międzywitrynowe (XSS), która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwych skryptów przez pole wejściowe czatu. Atakujący mogą przesyłać ładunki zawierające tagi skryptów i obsługiwane zdarzenia, które wykonują się w obszarze administracyjnym.

Wtyczka Contact Form by WD w wersji 1.13.1 zawiera podatność na atak typu cross-site request forgery (CSRF) połączoną z lokalnym dołączaniem plików. Umożliwia to nieautoryzowanym atakującym dołączanie dowolnych plików poprzez wykorzystanie niesanitizowanych parametrów akcji.

Zuz Music 2.1 zawiera podatność na trwałe ataki typu cross-site scripting (XSS), która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwego kodu JavaScript poprzez przesyłanie spreparowanych danych formularza kontaktowego. Kod skryptu może być wstrzykiwany przez parametry name, subject i message w żądaniach POST do /gmusic/zuzconsole/___contact.

Wykryto podatność w keystonejs do wersji 20260319, która dotyczy nieznanego kodu w pliku output-field.ts w komponentach GraphQL API Endpoint. Manipulacja tą podatnością prowadzi do nadmiernego zużycia zasobów.

HCL iControl jest podatny na lukę związaną z słabą walidacją wejścia. Problem ten wynika z nieprawidłowej implementacji taktyki bezpieczeństwa architektonicznego, gdzie otrzymane dane wejściowe nie są poprawnie weryfikowane pod kątem oczekiwanego typu.

Podatność CVE-2026-49077 w wtyczce WP eMember umożliwia nieautoryzowanym użytkownikom dostęp do wrażliwych danych systemowych. Dotyczy to wersji od n/a do 10.2.2.

Podatność typu out-of-bounds write w bibliotece rlottie od Samsunga umożliwia przepełnienie buforów. Problem ten dotyczy wersji przed dcfde72eae1b0464dc0dd760aec00ada6a148635.

W aplikacji AcerConnect OTA naprawiono klucze AES-128-CBC, co pozwala atakującym na fałszowanie poświadczeń autoryzacyjnych dla dowolnych numerów IMEI. Umożliwia to nieautoryzowanym osobom przeglądanie elementów katalogu oraz wyciąganie chronionych binarnych plików z wstępnie podpisanych linków w chmurze.

Panel administracyjny sieciowy jest dostępny na publicznym adresie IPv6 na porcie [::]:8080 bez domyślnych ograniczeń zapory, co umożliwia dostęp do wewnętrznych punktów API przez WAN.

W podatnych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą określonego punktu końcowego API, mimo wyświetlania błędu.

W podatności CVE-2026-49510 występuje przepełnienie lub owinięcie liczb całkowitych w otwartym źródle rlottie firmy Samsung, co umożliwia ataki typu Integer. Problem dotyczy wersji rlottie przed 21292665023e5074b38254432716866d00f1985f.

W podatności CVE-2026-47320 występuje problem z dostępem do niezainicjowanego wskaźnika oraz niekontrolowana rekurencja w bibliotece rlottie od Samsunga, co umożliwia manipulację wskaźnikami oraz przetwarzanie zbyt dużych ładunków danych zserializowanych.

W podatności CVE-2026-47319 występuje problem z alokacją pamięci w bibliotece rlottie, który pozwala na nadmierną alokację pamięci z powodu zbyt dużej wartości rozmiaru. Dotyczy to wersji przed 0b4e308fa88c72cbb60cc8a2c1d2c2ad89b101dd.

Podatność typu przepełnienia bufora na stosie w bibliotece rlottie od Samsunga pozwala na przepełnienie buforów. Problem dotyczy wersji przed ce72b35a7ad0dded03051d3aa0ef75321c3bd035.

Podatność na niekontrolowaną rekurencję w bibliotece rlottie od Samsung Open Source pozwala na przetwarzanie zbyt dużych ładunków danych. Problem dotyczy wersji przed e2d19e3b150e0e4a9586fa90b56fd3061cc98945.

Podatność typu out-of-bounds read w bibliotece rlottie od Samsunga pozwala na odczytanie danych poza przydzielonym buforem. Problem dotyczy wersji przed 223a2a41ba4f462e4abe767bebba49a366c9b9fd.

Słaba logika walidacji w interfejsach API do rozłączania urządzeń pozwala zdalnemu podmiotowi na wymuszenie rozłączenia niezwiązanych punktów końcowych użytkowników, co prowadzi do poważnych problemów z dostępnością.