Katalog podatności CVE

W JetBrains YouTrack przed wersją 2026.2.19197 administratorzy projektów mogli czytać komentarze z innych projektów za pomocą szablonów powiadomień.

W JetBrains Hub przed wersją 2026.2.52366 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na wysyłanie dowolnych e-maili z zaufanego adresu serwera.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu w projekcie na nadpisywanie szablonów powiadomień projektu.

W JetBrains IntelliJ IDEA przed wersją 2026.2.3 możliwe było zdalne wykonanie kodu (RCE) przez ograniczenia skryptów w wyszukiwaniu strukturalnym w niezaufanych projektach.

W JetBrains TeamCity przed wersjami 2026.2, 2026.1.4 i 2025.11.8 możliwe było przejęcie konta administratora przez resetowanie hasła.

W JetBrains TeamCity przed wersjami 2026.2, 2026.1.4 i 2025.11.8 uwierzytelnieni użytkownicy mogą wykonywać polecenia na serwerach Windows poprzez wstrzyknięcie CRLF w ustawieniach połączenia Git Pipeline.

W JetBrains TeamCity przed wersjami 2026.2, 2026.1.4 i 2025.11.8 możliwa jest ucieczka z sandboxa prowadząca do wykonania kodu poprzez wersjonowane ustawienia Kotlin DSL.

Wtyczka Business Directory (business-directory-plugin) w systemie WPTasty zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniu SQL. Problem dotyczy wersji od n/a do 6.4.27.

Firmware AJA HELO Plus przed wersją 2.1.7 zawiera podatność na ujawnienie informacji, która pozwala nieuwierzytelnionym atakującym na odszyfrowanie wrażliwych pakietów diagnostycznych poprzez wykorzystanie statycznego hasła AES osadzonego w zaciemnionej formie w firmware.

System Trex MES od Trex Digital Smart Manufacturing Systems Inc. zawiera podatność na brak uwierzytelnienia dla krytycznych funkcji, co pozwala na obejście uwierzytelnienia. Problem dotyczy wersji do 2026-09-29.

OpenSave do wersji 2.4.0 nieprawidłowo waliduje ścieżki zapisu dostarczane przez sparowanych peerów w handlerze żądań manifestu. Atakujący mogą wskazać dowolne katalogi poza skonfigurowanymi lokalizacjami zapisu, aby czytać i zapisywać pliki przez trasy manifestu i synchronizacji.

LightLLM do wersji 1.2.0 montuje trasy kontroli uczenia przez wzmacnianie na publicznym API HTTP bez kontroli uwierzytelnienia. Nieuwierzytelnieni atakujący mogą wywoływać punkty końcowe takie jak /pause_generation, /abort_request, /flush_cache i /init_weights_update_group, aby zakłócić operacje wnioskowania i zablokować workerów na wdrożeniach uruchomionych z --enable_rl.

Astro to framework webowy dla stron opartych na treści. Przed wersją 11.1.3 adapter @astrojs/node buduje URL żądania z nagłówka Host, a nieprawidłowy port może uczynić ten URL nieprawidłowym. Ścieżka odzyskiwania używa tego samego nieprawidłowego hosta i wyrzuca nieprzechwycony TypeError: Invalid URL przed rozpoczęciem routingu. W domyślnej konfiguracji standalone żądanie zwraca odpowiedź HTTP 500 i serwer kontynuuje działanie, ale gdy włączony jest staticHeaders, synchroniczny handler nie łapie wyjątku i proces Node zostaje zakończony. Proxy i CDN, które odrzucają nieprawidłowe nagłówki Host, zapobiegają dotarciu tej ścieżki do origin. Problem dotyczy tylko dostępności i nie ujawnia danych ani nie pozwala na wykonanie kodu. Problem został naprawiony w wersji 11.1.3.

Niezgodność ABI w setterze MQTT WebSocket może ujawnić pamięć lub spowodować awarię.

Podatność na path traversal / dowolny zapis plików w ekstrakcji obrazów katalogów operatorów w oc-mirror. Podczas dublowania katalogów operatorów przy użyciu ścieżki v1 (--v1) lub ścieżki OCI (--use-oci-feature), oc-mirror wyodrębnia wpisy tar z warstw obrazów katalogów bez walidacji, czy ścieżki plików rozwiązują się w obrębie docelowego katalogu.

Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.

Wtyczka Quiz And Survey Master (quiz-master-next) do WordPressa zawiera podatność typu DOM-Based Cross-site Scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 11.2.6 włącznie.

Wtyczka Event Tickets (Liquid Web / StellarWP) jest podatna na wstrzyknięcie SQL (SQL Injection) typu Blind SQL Injection z powodu nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji od n/a do 5.29.5.

Wtyczka Premmerce Permalink Manager for WooCommerce w wersjach do 2.3.13 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka WPFunnels w wersjach do 3.13.1 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.