Katalog podatności CVE

OneUptime to platforma monitorowania i obserwowalności typu open-source. Przed wersją 10.0.35, użytkownik z niskimi uprawnieniami (ProjectMember) mógł zdalnie wykonać polecenia na kontenerze/gospodarzu Probe, wykorzystując wykonanie skryptu Synthetic Monitor Playwright. Wersja 10.0.35 zawiera poprawkę.

Biblioteka plank/laravel-mediable do wersji 6.4.0 umożliwia przesyłanie niebezpiecznych typów plików, gdy aplikacja akceptuje typ MIME dostarczony przez klienta. Zdalny atakujący może przesłać plik z kodem PHP, deklarując nieszkodliwy typ MIME obrazu, co prowadzi do dowolnego przesyłania plików.

Wersje Plack::Middleware::Session::Cookie do 0.21 dla Perla mają podatność, która umożliwia zdalne wykonanie kodu. Atakujący może wykonać dowolny kod na serwerze podczas deserializacji danych cookie, gdy nie użyto sekretu do podpisania cookie.

Saloon to biblioteka PHP, która umożliwia użytkownikom budowanie integracji API i SDK. W wersjach przed 4.0.0 używano funkcji unserialize() w metodzie AccessTokenAuthenticator::unserialize() do przywracania stanu tokena OAuth z pamięci podręcznej lub magazynu, co stwarza ryzyko wstrzyknięcia obiektów.

Saloon to biblioteka PHP, która umożliwia użytkownikom budowanie integracji API i SDK. W wersjach przed 4.0.0, nazwy fixture były używane do budowania ścieżek plików w skonfigurowanym katalogu fixture bez walidacji, co prowadziło do podatności na traversję ścieżek.

Problem w mtrojnar Osslsigncode w wersji 2.10 i wcześniejszych umożliwia zdalnemu atakującemu eskalację uprawnień poprzez komponent osslsigncode.c.

W podatności CVE-2026-32573 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w oprogramowaniu Nelio AB Testing w wersjach od n/a do 8.2.7. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu.

W podatności CVE-2026-32539 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce PublishPress Revisions. Problem dotyczy wersji od n/a do 3.7.23 włącznie.

Podatność CVE-2026-32536 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w aplikacji halfdata Green Downloads, co pozwala na wykorzystanie złośliwych plików. Problem ten dotyczy wersji Green Downloads od n/a do 2.08 włącznie.

Podatność CVE-2026-32525 dotyczy niewłaściwej kontroli generowania kodu w JetFormBuilder, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji JetFormBuilder od n/a do 3.5.6.1.

Podatność CVE-2026-32524 dotyczy silnika zdjęć Jordy Meow Photo Engine, umożliwiając nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Photo Engine od n/a do 6.4.9 włącznie.

Podatność CVE-2026-32523 dotyczy WPJAM Basic, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 6.9.2.

Podatność związana z nieprawidłowym przypisaniem uprawnień w RewardsWP pozwala na eskalację uprawnień. Problem ten dotyczy wersji RewardsWP od n/a do 1.0.4 włącznie.

W podatności CVE-2026-32519 w aplikacji Bit SMTP występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji Bit SMTP od n/a do 1.2.2 włącznie.

Podatność CVE-2026-32512 dotyczy deserializacji niezaufanych danych w motywie Edge-Themes Pelicula, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Pelicula od n/a do poniżej 1.10.

Podatność CVE-2026-32502 dotyczy deserializacji niezaufanych danych w motywie Borgholm od Select-Themes, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Borgholm od n/a do poniżej 1.6.

Podatność CVE-2026-32499 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w chatbotie QuantumCloud ChatBot, co umożliwia atak typu Blind SQL Injection. Problem ten dotyczy wersji ChatBot od n/a do 7.7.9 włącznie.

Podatność CVE-2026-32482 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w motywie deothemes Ona, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Ona od n/a do < 1.24.

W podatności CVE-2026-31920 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce Product Rearrange for WooCommerce. Problem dotyczy wersji od n/a do 1.2.2 włącznie.

Podatność CVE-2026-2414 dotyczy serwera HYPR i polega na obejściu autoryzacji za pomocą klucza kontrolowanego przez użytkownika, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji serwera od 9.5.2 do przed 10.7.2.