Katalog podatności CVE

Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.

Podatność SQL Injection w wtyczce License Manager for WooCommerce w wersjach do 3.0.18. Atakujący może wstrzyknąć złośliwy kod SQL przez pole klienta.

Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod (RCE) w wtyczce WP Compress w wersjach starszych niż 7.20.01.

Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w WP Multilang w wersjach do 2.4.31. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce RegistrationMagic w wersjach do 6.0.9.7.

Nieuwierzytelniony atakujący może wykorzystać podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Modern Events Calendar w wersjach starszych niż 7.35.0.

Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka WPDM – Premium Packages (W3 Eden) jest podatna na Cross-site Scripting (XSS) typu DOM-Based z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 7.0.5.

Ten identyfikator CVE został odrzucony lub wycofany przez CVE Numbering Authority. Jest duplikatem CVE-2026-14858.

Nieuwierzytelniony atakujący może wykorzystać podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Sticky Chat Widget w wersjach do 1.4.2.

Podatność nieuwierzytelnionego pobierania dowolnych plików w Extra Product Options & Add-Ons for WooCommerce w wersjach poniżej 7.6. Atakujący może pobrać dowolne pliki z serwera.

W n8n, platformie automatyzacji przepływów pracy, przed wersjami 1.123.64, 2.29.8 i 2.30.1, operacja klonowania węzła Git pozwala uwierzytelnionemu użytkownikowi przepływu pracy na podmianę zweryfikowanego katalogu na dowiązanie symboliczne przed klonowaniem, co umożliwia umieszczenie spreparowanego repozytorium w katalogu węzłów społeczności, które po restarcie ładuje się jako niestandardowy węzeł JavaScript i wykonuje dowolny kod na serwerze.

Copyparty to przenośny serwer plików. Przed wersją 1.20.17 wolumeny copyparty z flagami katalogów dk lub dks w połączeniu z flagami plików fk lub fka mogą zamienić prawidłowy klucz pliku na klucz katalogu, przyznając dostęp do odczytu do zawierającego folderu. Ta podatność była osiągalna tylko wtedy, gdy oba typy kluczy (klucze plików i klucze katalogów) były ręcznie włączone w flagach wolumenu jednocześnie. Problem został naprawiony w wersji 1.20.17.

W Hoppscotch, ekosystemie do tworzenia API, przed wersją 2026.6.0, ścieżki GraphQL team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments i settings ujawniają prywatne dane użytkownika innego członka zespołu, a usługi toggleHistoryStatus i removeRequestFromHistory w UserHistory akceptują identyfikator historii innego użytkownika bez sprawdzania własności userUid, co pozwala uwierzytelnionemu członkowi zespołu na odczyt prywatnej historii żądań, danych sesji, treści żądań, nagłówków autoryzacji, wartości środowiskowych i ustawień oraz modyfikację lub usunięcie prywatnych wpisów historii ofiary.

Pyenv przed wersją 2.8.0 w funkcji is_version_safe() akceptuje metaznaki glob w wartościach .python-version, a niecytowane rozwinięcie PYENV_VERSION w kilku skryptach powoduje rozwinięcie ścieżki względem bieżącego katalogu, co pozwala na wybranie innego interpretera lub wersji przez dopasowanie pliku kontrolowanego przez atakującego.

Podatność typu Privilege Escalation (eskalacja uprawnień) w wtyczce MasterStudy LMS w wersjach do 3.7.41. Atak wymaga uprawnień subskrybenta.

Podatność Cross-site Scripting (DOM-Based XSS) w wtyczce WordPress EasyTest – Simplify A/B Testing wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.0.1 włącznie.

Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.

W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.