Katalog podatności CVE

Wtyczka SEO Flow autorstwa LupsOnline dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach checkBlogAuthentication() i checkCategoryAuthentication() we wszystkich wersjach do 2.2.1 włącznie. Funkcje te implementują jedynie podstawową autoryzację klucza API, nie przeprowadzając jednak sprawdzenia uprawnień WordPressa.

Wtyczka Infility Global dla WordPressa jest podatna na nieautoryzowaną injekcję SQL poprzez akcję API 'infility_get_data' we wszystkich wersjach do i włącznie z 2.14.46. Problem wynika z niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Podatność CVE-2026-1819 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ViPort, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji ViPort do 23012026.

Podatność w GalaxyDiagnostics przed wersją 3.5.050 wynika z nieprawidłowej walidacji danych wejściowych. Umożliwia lokalnym atakującym z uprawnieniami wykonanie uprzywilejowanych poleceń.

Nieprawidłowy eksport komponentów aplikacji na Androida w Samsung Dialer przed wydaniem SMR luty-2026 pozwala lokalnym atakującym na uruchamianie dowolnych działań z uprawnieniami Samsung Dialer.

Nieprawidłowe zarządzanie uprawnieniami w Ustawieniach przed wydaniem SMR luty-2026 Release 1 umożliwia lokalnym atakującym uruchamianie dowolnych działań z uprawnieniami Ustawień.

Wtyczka WP FOFT Loader dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typu pliku w funkcji 'WP_FOFT_Loader_Mimes::file_and_ext' we wszystkich wersjach do 2.1.39 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej przesyłanie dowolnych plików na serwerze dotkniętej witryny.

Podatność typu Type Confusion w pakiecie Hancom Office umożliwia wstrzyknięcie zawartości pliku. Dotyczy wersji Hancom Office 2018, 2020, 2022 i 2024 przed określonymi poprawkami.

Podatność w procesie importowania plików w Comic Book Reader v1.0.95 umożliwia atakującym nadpisywanie dowolnych plików, co może prowadzić do wykonania dowolnego kodu lub ujawnienia wrażliwych informacji.

W aplikacji Moo Chan Song w wersji 4.5.7 wykryto podatność na path traversal, która umożliwia atakującym zapisywanie plików do wewnętrznej pamięci urządzenia, co może prowadzić do odmowy usługi (DoS).

Adapter Synectix LAN 232 TRIO 3-Port, służący do konwersji sygnału szeregowego na ethernet, udostępnia interfejs zarządzania siecią bez wymogu uwierzytelnienia. Umożliwia to nieautoryzowanym użytkownikom modyfikację krytycznych ustawień urządzenia lub przywrócenie ustawień fabrycznych.

W ingress-nginx odkryto problem bezpieczeństwa, w którym pole `rules.http.paths.path` Ingress może być wykorzystane do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia tajemnic dostępnych dla kontrolera.

Stacja sejsmiczna MOMA w wersji v2.4.2520 i wcześniejszych udostępnia interfejs zarządzania przez sieć bez wymogu uwierzytelnienia. Może to pozwolić nieautoryzowanemu atakującemu na modyfikację ustawień konfiguracyjnych, pozyskanie danych urządzenia lub zdalne zresetowanie urządzenia.

W ingress-nginx odkryto problem bezpieczeństwa, w którym adnotacja Ingress `nginx.ingress.kubernetes.io/auth-method` może być wykorzystana do wstrzykiwania konfiguracji do nginx. Może to prowadzić do wykonania dowolnego kodu w kontekście kontrolera ingress-nginx oraz ujawnienia sekretów dostępnych dla kontrolera.

School ERP Pro w wersji 1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym użytkownikom admina na przesyłanie dowolnych plików PHP jako zdjęcia profilowe, omijając kontrole rozszerzeń plików. Atakujący mogą wykorzystać niewłaściwą walidację plików w pliku pre-editstudent.inc.php do wykonania dowolnego kodu na serwerze.

CI4MS to szkielet CMS oparty na CodeIgniter 4, który oferuje gotową do produkcji, modułową architekturę z autoryzacją RBAC i wsparciem dla motywów. Przed wersją 0.28.5.0, uwierzytelniony użytkownik z uprawnieniami edytora plików mógł osiągnąć zdalne wykonanie kodu (RCE) poprzez wykorzystanie punktów końcowych do tworzenia i zapisywania plików, co pozwalało na przesyłanie i wykonywanie dowolnego kodu PHP na serwerze.

W Fastify przed wersją 5.7.2 istnieje podatność umożliwiająca ominięcie walidacji treści żądania. Poprzez dodanie znaku tabulacji (\t) i dowolnej treści do nagłówka Content-Type, atakujący może obejść walidację schematu dla danego typu zawartości, podczas gdy serwer nadal przetwarza treść jako oryginalny typ.

W frameworku Qwik, przed wersją 1.19.0, występuje podatność na zanieczyszczenie prototypu w funkcji formToObj() w middleware @builder.io/qwik-city. Funkcja ta przetwarza nazwy pól formularzy z użyciem notacji kropkowej, ale nie sanitizuje niebezpiecznych nazw właściwości, co umożliwia atakującym zdalne zanieczyszczenie Object.prototype.

Avation Light Engine Pro udostępnia swoje interfejsy konfiguracyjne i kontrolne bez jakiejkolwiek autoryzacji lub kontroli dostępu. To może prowadzić do nieautoryzowanego dostępu do krytycznych ustawień systemu.

Edimax EW-7438RPn w wersji 1.13 zawiera podatność na ujawnienie informacji, która eksponuje szczegóły konfiguracji sieci WiFi poprzez plik wlencrypt_wiz.asp. Atakujący mogą uzyskać dostęp do skryptu, aby wydobyć wrażliwe informacje, w tym nazwę sieci WiFi oraz hasło w postaci niezaszyfrowanej przechowywane w zmiennych konfiguracyjnych urządzenia.