Katalog podatności CVE

Picklescan w wersjach przed 0.0.33 nie blokuje modułu ctypes, co umożliwia atakującym zdalne wykonanie kodu poprzez wywoływanie bezpośrednich syscalls i dostęp do surowej pamięci. Atakujący mogą stworzyć złośliwe pliki pickle, wykorzystując ctypes.WinDLL do załadowania kernel32.dll i wykonania dowolnych poleceń.

Picklescan przed wersją 0.0.33 zawiera podatność na dowolne zapisywanie plików, która pozwala atakującym na obejście niebezpiecznej listy blokad. Atakujący mogą skonstruować złośliwe obiekty pickle, aby nadpisać krytyczne pliki systemowe.

Picklescan w wersjach przed 0.0.33 zawiera niekompletną listę zablokowanych funkcji, co pozwala na ominięcie zabezpieczeń związanych z funkcjami pydoc.locate i operator.methodcaller. Atakujący mogą stworzyć złośliwe pliki pickle, które po deserializacji mogą prowadzić do wykonania dowolnego kodu.

Lista dozwolonych poleceń narzędzia powłoki w SecurityPolicy agenta OpenHuman desktop do wersji 0.54.0 (domyślna polityka Supervised) może zostać ominięta, co umożliwia wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika pulpitu.

Podatność SQL Injection w wtyczce Motors (motors-car-dealership-classified-listings) firmy StylemixThemes umożliwia atakującemu wykonanie ślepego wstrzyknięcia SQL. Problem dotyczy wersji od n/a do 1.4.109.

Podatność w Python StateMachine w wersjach od 3.0.0 do 3.2.0 umożliwia zdalne wykonanie kodu poprzez dostarczenie złośliwych dokumentów SCXML z atrybutem `<data expr="...">`, który jest niebezpiecznie ewaluowany. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście procesu hostującego.

W podatności CVE-2026-54819 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na ataki typu Blind SQL Injection w aplikacji Listdom firmy Webilia Inc.

W podatności CVE-2026-54815 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce Cargo Shipping Location dla WooCommerce.

W podatności CVE-2026-54809 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji VillaTheme GIFT4U.

W podatności CVE-2026-54808 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w WP Travel Gutenberg Blocks.

Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.

Wersje Moderno poniżej 1.43 są podatne na nieautoryzowaną iniekcję obiektów PHP.

Wersje Plumbing do 1.6 zawierają podatność na nieautoryzowaną injekcję obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do systemu.

W wersjach Reisen <= 1.4.1 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.

Podatność na deserializację nieufnych danych w EMV Creatify umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Creatify od n/a do 1.5.

W podatności CVE-2025-60231 występuje problem deserializacji niezaufanych danych w systemie EMV The Hospital, co pozwala na wstrzyknięcie obiektów.

Podatność na deserializację niezaufanych danych w Themeton The Barber Shop umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji The Barber Shop od n/a do 1.9.

Podatność CVE-2025-60229 dotyczy deserializacji niezaufanych danych w Themeton Lagom, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Lagom od n/a do 2.0.

W wersjach Advanced Ads – Tracking poniżej 3.0.7 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

W WP eMember w wersjach poniżej 10.9.4 występuje podatność na nieautoryzowany atak SQL Injection.