Katalog podatności CVE

ERPNext w wersji 15.103.1 i starszych jest podatny na wstrzykiwanie szablonów po stronie serwera (SSTI). Osoba z uprawnieniami do tworzenia lub edycji szablonów e-mail może wstrzyknąć wyrażenia szablonu, które są wykonywane na serwerze podczas renderowania.

OpenCMS w wersji 20 i wcześniejszych jest podatny na atak XML External Entity (XXE) w funkcji Admin Import DB z powodu niebezpiecznego parsowania XML dostarczonych przez użytkownika plików .zip zawierających manifest.xml.

W wersjach Eclipse BaSyx Java Server SDK przed 2.0.0-milestone-10 występuje niewłaściwa normalizacja ścieżek w API HTTP Submodel, co pozwala nieautoryzowanemu zdalnemu atakującemu na przeprowadzenie ataku typu path traversal. Atakujący może dostarczyć złośliwie skonstruowany parametr fileName podczas operacji przesyłania plików, co umożliwia zapisanie dowolnych plików w systemie plików hosta.

W jądrze systemu Linux zidentyfikowano podatność związana z odczytem poza granicami (OOB) w dentry_hashtable, gdy użytkownik ustawia 'dhash_entries=1'. Problem ten prowadzi do błędu strony w trybie jądra, co może skutkować nieprzewidzianym dostępem do pamięci.

W jądrze Linuxa rozwiązano podatność w systemie plików ext4, która dotyczyła obsługi przepełnienia podczas wyszukiwania bloków dla plików z mapowaniem pośrednim. Zmiana w kodzie ogranicza alokację bloków do numerów mieszczących się w 32-bitowych numerach bloków.

Wykryto podatność w EFM ipTIME NAS1dual 1.5.24, która dotyczy funkcji get_csrf_whites w pliku /cgi/advanced/misc_main.cgi. Manipulacja tą funkcją prowadzi do przepełnienia bufora na stosie.

W serwerze WWW GoAhead na urządzeniach MeiG Smart FORGE_SLT711 (oprogramowanie MDM9607.LE.1.0-00110-STD.PROD-1) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego bez uwierzytelniania. Atak jest możliwy przez endpoint /action/SetRemoteAccessCfg.

W systemie Gambio w wersji 4.9.2.0 odkryto problem, który pozwala na ominięcie funkcji resetowania hasła, umożliwiając ustawienie dowolnych haseł dla dowolnych kont, jeśli znany jest identyfikator konta.

Wersje OpenClaw 2026.4.7 przed 2026.4.14 zawierają podatność na eskalację uprawnień, w której logika obniżania uprawnień właściciela pomija zdarzenia webhook wake zawierające nieufne treści. Atakujący mogą wykorzystać tę lukę, wysyłając nieufne zdarzenia webhook wake, aby zachować kontekst wykonania podobny do właściciela, gdy powinno nastąpić obniżenie uprawnień.

OpenClaw w wersjach przed 2026.4.10 zawiera podatność na niewłaściwą walidację danych wejściowych, która pozwala na dodawanie zewnętrznych metadanych hooków jako zaufanych zdarzeń systemowych. Atakujący mogą dostarczyć złośliwe nazwy hooków, co umożliwia eskalację niezaufanych danych do kontekstu agenta o wyższym poziomie zaufania.

Eclipse Equinox OSGi w wersji 3.7.2 i wcześniejszych zawiera podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń poprzez wysyłanie ładunków do interfejsu konsoli. Atakujący mogą połączyć się z portem konsoli OSGi i wysyłać polecenia bash zakodowane w base64, co prowadzi do wykonania kodu i nawiązania połączeń zwrotnych.

Eclipse Equinox OSGi w wersjach od 3.8 do 3.18 zawiera podatność na zdalne wykonanie kodu w interfejsie konsoli, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnego kodu poprzez wykorzystanie funkcjonalności polecenia fork. Atakujący mogą nawiązać połączenie telnet z konsolą OSGi, przeprowadzić handshake telnet i wysłać polecenia fork w celu pobrania i wykonania złośliwego kodu Java, co prowadzi do ustanowienia połączenia reverse shell.

W podatności CVE-2026-40797 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji WebinarIgnition.

W urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521 odkryto lukę bezpieczeństwa. Funkcja setAppFilterCfg w pliku /cgi-bin/cstecgi.cgi jest podatna na wstrzyknięcie poleceń systemowych poprzez manipulację argumentem enable.

Wtyczka Geeky Bot dla WordPressa jest podatna na brak autoryzacji w wersjach do 1.2.2 włącznie. Problem wynika z nopriv AJAX route, który pozwala atakującym na kontrolowanie modelu/funkcji oraz na instalację wtyczek z złośliwych plików ZIP.

Wtyczka Mentoring dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 1.2.8 włącznie. Problem wynika z niewłaściwego ograniczenia ról, które użytkownicy mogą rejestrować w funkcji mentoring_process_registration().

Wtyczka MoreConvert Pro dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.9.14. Problem wynika z braku unieważnienia lub regeneracji tokenów weryfikacyjnych, gdy zmienia się adres e-mail klienta.

Nginx UI, interfejs webowy dla serwera Nginx, przed wersją 2.3.8, udostępniał punkt końcowy przywracania kopii zapasowej (POST /api/restore), który był całkowicie nieautoryzowany przez pierwsze 10 minut po uruchomieniu procesu na świeżej instalacji. Nieautoryzowany zdalny atakujący mógł przesłać spreparowaną archiwum kopii zapasowej, co prowadziło do nadpisania pliku konfiguracyjnego aplikacji oraz bazy danych SQLite.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzykiwanie poleceń systemowych w binarnym pliku firewall.cgi, wynikającą z niewystarczającej walidacji danych wejściowych. Atakujący mogą wstrzykiwać dowolne polecenia powłoki przez podatne parametry, co prowadzi do ich trwałego przechowywania w NVRAM.

WDR201A WiFi Extender (HW V2.1, FW LFMZX28040922V1.02) zawiera podatność na wstrzyknięcie poleceń systemowych w funkcji reboot_time binarnego pliku adm.cgi. Umożliwia to nieautoryzowanym atakującym zdalne wykonywanie dowolnych poleceń powłoki poprzez wstrzyknięcie złośliwego wejścia do parametru POST reboot_time.