Katalog podatności CVE

W Yonyou KSOA 9.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /worksheet/del_work.jsp w komponencie obsługi parametrów HTTP GET. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co może być zainicjowane zdalnie.

W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 znaleziono lukę. Problem dotyczy nieznanej funkcji w pliku /admin/delete_activity.php, gdzie manipulacja argumentem activity_id może prowadzić do wstrzyknięcia SQL.

Zidentyfikowano podatność w EasyCMS do wersji 1.6, która dotyczy nieznanego kodu w pliku /UserAction.class.php. Manipulacja argumentem _order prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w FeMiner wms do wersji 9cad1f1b179a98b9547fd003c23b07c7594775fa, która dotyczy nieznanej funkcjonalności pliku /src/chkuser.php. Manipulacja argumentem Username prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.

W systemie risesoft-y9 Digital-Infrastructure do wersji 9.6.7 zidentyfikowano lukę, która dotyczy nieznanej funkcji w pliku source-code/src/main/java/net/risesoft/util/Y9PlatformUtil.java komponentu REST Authenticate Endpoint. Wykonanie manipulacji może prowadzić do wstrzyknięcia SQL.

Wtyczka Registration & Login with Mobile Phone Number dla WooCommerce w WordPressie jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.3.1. Problem wynika z niewłaściwego weryfikowania tożsamości użytkowników przed ich uwierzytelnieniem przez funkcję fma_lwp_set_session_php_fun().

Wtyczka Demo Importer Plus dla WordPressa jest podatna na atak typu XML External Entity Injection (XXE) we wszystkich wersjach do i włącznie z 2.0.9, poprzez funkcjonalność przesyłania plików SVG. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej wykonanie kodu w podatnych konfiguracjach.

Wtyczka RegistrationMagic dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 6.0.7.1 włącznie. Problem wynika z funkcji 'add_menu', która jest dostępna przez akcję AJAX 'rm_user_exists', co pozwala na dowolne aktualizacje ustawienia 'admin_order'.

CVE-2026-0517 to podatność typu denial-of-service w wersjach Secure Access Server przed 14.20. Atakujący może wysłać specjalnie przygotowany pakiet do serwera, co powoduje jego awarię.

Gradle to narzędzie do automatyzacji budowy, które w wersjach przed 9.3.0 nie traktowało niektórych wyjątków jako błędów krytycznych, co pozwalało na kontynuowanie procesu budowy z innymi repozytoriami. W przypadku wystąpienia wyjątków, takich jak NoHttpResponseException, Gradle mógł przejść do kolejnego repozytorium, co stwarzało ryzyko wykorzystania złośliwych artefaktów.

Gradle to narzędzie do automatyzacji budowy, które w wersjach przed 9.3.0 nie traktowało niektórych wyjątków jako błędów krytycznych, co mogło prowadzić do kontynuacji procesu budowy mimo wystąpienia problemów z zależnościami. W przypadku napotkania nierozwiązywalnej nazwy hosta, Gradle mógł kontynuować działanie, jeśli inne zależności były dostępne z innego repozytorium.

W bibliotece node-tar w wersji do 7.5.2 stwierdzono podatność polegającą na braku sanityzacji ścieżki linkpath dla wpisów Link (hardlink) i SymbolicLink, gdy preservePaths jest ustawione na false (domyślne bezpieczne zachowanie). Pozwala to złośliwym archiwom na ominięcie ograniczenia katalogu docelowego, prowadząc do nadpisywania dowolnych plików przez hardlinki i zatruwania dowiązań symbolicznych przez absolutne cele dowiązań.

Nieprawidłowe zarządzanie uprawnieniami w Microsoft Edge (oparty na Chromium) pozwala autoryzowanemu atakującemu na lokalne obejście funkcji zabezpieczeń.

Nieprawidłowa autoryzacja w Microsoft Power Apps umożliwia autoryzowanemu atakującemu wykonanie kodu w sieci.

Podatność CVE-2026-23800 dotyczy niewłaściwego przypisania uprawnień w module Modular DS, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Modular DS od 2.5.2 do przed 2.6.0.

MCPJam inspector to platforma do lokalnego rozwoju dla serwerów MCP. Wersje 1.4.2 i wcześniejsze są podatne na zdalne wykonanie kodu (RCE), co pozwala atakującemu na wysłanie spreparowanego żądania HTTP, które uruchamia instalację serwera MCP, prowadząc do RCE.

Skipper to router HTTP i reverse proxy dla kompozycji usług. W domyślnej konfiguracji przed wersją 0.23.0 istniała możliwość tworzenia filtrów lua przez nieufnych użytkowników, co mogło prowadzić do odczytu systemu plików oraz tajemnic Skippera.

GraphQL Modules to zestaw narzędzi i wytycznych do tworzenia modułów dla serwera GraphQL. W wersjach od 2.2.1 do przed 2.4.1 oraz 3.1.1, gdy dwa lub więcej równoległych żądań wywołuje ten sam serwis, kontekst żądań jest mieszany w serwisie, gdy kontekst jest wstrzykiwany przez @ExecutionContext(). ExecutionContext jest często używany do przekazywania tokenów uwierzytelniających z przychodzących żądań do serwisów ładujących dane z backendowych API. Podatność naprawiona w wersjach 2.4.1 i 3.1.1.

WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.2 zidentyfikowano uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym Atendido_ocorrenciaControle przez parametr id_memorando. Ta wada pozwala na pełną eksfiltrację bazy danych, ujawnienie wrażliwych danych osobowych (PII) oraz potencjalny odczyt dowolnych plików w źle skonfigurowanych środowiskach. Podatność naprawiona w wersji 3.6.2.

WeGIA, menedżer internetowy dla instytucji charytatywnych, przed wersją 3.6.2 zawiera podatność na odbity Cross-Site Scripting (XSS) w pliku html/memorando/insere_despacho.php. Aplikacja nie sanitizuje ani nie koduje danych wejściowych użytkownika przekazywanych przez parametr GET id_memorando przed odzwierciedleniem ich w źródle HTML (prawdopodobnie wewnątrz bloku <script> lub atrybutu). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego JavaScriptu lub HTML do kontekstu sesji przeglądarki użytkownika. Podatność naprawiona w wersji 3.6.2.