Katalog podatności CVE

W systemie Kamailio do wersji 6.0.7/6.1.3 wykryto podatność w funkcji isup_get_calling_party pliku src/modules/sipt/ss7_parser.c w module sipt. Manipulacja argumentem length prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie.

W systemie Tencent WeKnora do wersji 0.8.1 wykryto podatność w funkcji validateSubquery pliku internal/utils/inject.go w komponencie SQL Validator. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie agno-agi agno do wersji 3.0.6/3.1.1 wykryto podatność w funkcji member_agent.run w bibliotece libs/agno/agno/team/_default_tools.py w komponencie Delegation Feature. Wykonanie manipulacji może prowadzić do wykonania z niepotrzebnymi uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

Podatność w agno-agi agno do wersji 3.0.6/3.1.1 dotyczy funkcji exec w warstwie Agent Orchestration Layer, umożliwiając zdalne wykonanie dynamicznie zarządzanego kodu.

Podatność SQL Injection w logice komunikacji klastra Kong Gateway (Enterprise i Open Source) w trybie hybrydowym, wyzwalana przez specjalnie spreparowane żądania RPC do Control Plane, prowadząca do nieautoryzowanego dostępu do bazy danych.

Podatność w agno-agi agno do wersji 2.7.3/3.0.6 dotyczy funkcji get_authentication_dependency w pliku auth.py, gdzie manipulacja argumentem security_key prowadzi do braku uwierzytelnienia.

W systemie agno-agi agno do wersji 3.0.9 wykryto podatność w funkcji agno.CodingTools.run_shell w bibliotece libs/agno/agno/tools/coding.py w komponencie CodingTools. Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie agno-agi agno do wersji 3.0.6 wykryto podatność w funkcji run_python_code pliku python.py w komponencie PythonTools. Manipulacja argumentem code prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W idcCMS 1.70 znaleziono podatność w nieznanej funkcji pliku admin/member_deal.php. Manipulacja prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka Custom Query Blocks dla WordPressa do wersji 5.6.0 zawiera podatność na przechowywany XSS (Cross-site Scripting) w funkcji post-type-archive-mapping. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Flexible Subscriptions dla WordPressa do wersji 1.8.4 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy funkcji flexible-subscriptions.

Wtyczka JetElements For Elementor dla WordPressa do wersji 2.9.2.3 zawiera podatność na przechowywany XSS (Cross-site Scripting) w funkcji jet-elements. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Podatność typu Stored XSS w wtyczce JetMenu firmy Crocoblock. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron WWW pozwala na trwałe wstrzyknięcie złośliwego skryptu.

Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Brak autoryzacji w wtyczce Products Restricted Users for WooCommerce firmy Codection. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą być wykorzystane przez nieautoryzowanych użytkowników.

Brak autoryzacji w wtyczce WP User Manager. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą być wykorzystane przez nieautoryzowanych użytkowników.

Ten numer CVE został odrzucony, ponieważ jest duplikatem CVE-2026-71364, który został publicznie ujawniony i naprawiony w Red Hat Ansible Automation Platform 2026-08-24. Nie jest wymagany osobny identyfikator.

Podatność polegająca na wstawianiu wrażliwych informacji do wysyłanych danych w wtyczce Booster Elite for WooCommerce. Umożliwia odzyskanie osadzonych wrażliwych danych.

Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Banner.php. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia SQL, atak możliwy zdalnie.

Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Download.php. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, atak możliwy zdalnie.