Katalog podatności CVE

Serwer wnioskowania NVIDIA Triton zawiera podatność, która umożliwia atakującemu ominięcie uwierzytelniania. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi lub ujawnienia informacji.

Wtyczka Easy Elements for Elementor – Addons & Website Templates dla WordPressa jest podatna na eskalację uprawnień poprzez rejestrację użytkownika we wszystkich wersjach do 1.4.4 włącznie. Funkcja 'easyel_handle_register' nie ogranicza ról użytkowników, co pozwala nieautoryzowanym atakującym na przypisanie roli 'administrator' podczas rejestracji.

Wtyczka ProSolution WP Client dla WordPressa jest podatna na nieautoryzowane przesyłanie plików w wersjach do 2.0.0 włącznie. Problem wynika z niezgodności walidacji tablicy, gdzie tylko pierwszy plik w tablicy przesyłania przechodzi walidację rozszerzenia i typu MIME, podczas gdy wszystkie pliki są przetwarzane i przesyłane do katalogu dostępnego przez sieć.

W Drupal Date iCal występuje luka związana z brakiem autoryzacji, która umożliwia wymuszone przeglądanie.

CtrlPanel to oprogramowanie do fakturowania dla dostawców hostingu, które w wersjach 1.1.1 i wcześniejszych jest podatne na zdalne wykonanie kodu (RCE) z powodu niewłaściwego sprawdzania pliku instalacyjnego. W wyniku tego, atakujący może wykonać dowolne polecenia na serwerze.

W wersjach 0.46.2 i poniżej funkcja handle_compose_command() w kitty/graphics.c wykonuje walidację granic na przesunięciach kompozycji, co może prowadzić do nadpisania lub odczytu pamięci w stercie. Atakujący mogą wykorzystać to, dostarczając spreparowane wartości x_offset/y_offset, które po owinięciu przechodzą walidację, ale powodują dostęp do pamięci poza granicami.

W wersji 1.2.0 ScadaBR występuje podatność związana z użyciem twardo zakodowanych poświadczeń, co może umożliwić atakującemu dostęp do systemu SCADA jako administrator.

W wersji 1.2.0 ScadaBR występuje podatność na wstrzyknięcie poleceń systemowych, która może umożliwić atakującemu wykonywanie poleceń jako root w systemie SCADA.

W wersji 1.2.0 ScadaBR występuje podatność związana z brakiem uwierzytelnienia dla krytycznych funkcji, co może pozwolić nieautoryzowanemu atakującemu na wysyłanie żądań HTTP GET do systemu SCADA oraz wstrzykiwanie dowolnych odczytów czujników.

W podatności CVE-2026-36829 występuje możliwość ominięcia uwierzytelnienia w wbudowanym serwerze HTTP urządzenia Panabit PAP-XM320 w wersjach do 7.7. Serwer weryfikuje ciasteczka sesyjne na podstawie wartości kontrolowanej przez użytkownika, co prowadzi do możliwości przejścia do innych katalogów oraz ominięcia uwierzytelnienia.

W podatności CVE-2026-37281 występuje możliwość wstrzyknięcia poleceń systemowych w trasie /stream-to-vlc w hitarth-gg Zenshin przed wersją 2.7.0, co pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą parametru url.

Podatność w bibliotece APScheduler umożliwia zdalne wykonanie kodu (RCE) poprzez niezabezpieczoną deserializację w klasach JSONSerializer i CBORSerializer. Funkcja unmarshal_object pozwala na dowolną inicjalizację klas i wstrzykiwanie stanu przez dynamiczne importowanie modułów i wywoływanie __setstate__ na dowolnej klasie dostępnej w środowisku Python.

W systemie zarządzania apteką LalanaChami (commit 5c3d028) punkty końcowe API nie mają middleware autoryzacji. To pozwala nieautoryzowanym atakującym zdalnie na wyciek wszystkich rekordów użytkowników oraz modyfikację zapasów leków.

System zarządzania apteką LalanaChami (commit 5c3d028) umożliwia nieautoryzowanym atakującym zdalne podniesienie uprawnień poprzez samodzielne przypisanie roli administratora podczas rejestracji. Punkt końcowy /api/user/signup nie weryfikuje parametru roli w ciele żądania.

W wersji 0.1.13 biblioteki scalar/astro odkryto podatność typu Server-Side Request Forgery (SSRF) w parametrze zapytania scalar_url punktu końcowego Scalar Proxy. Umożliwia to nieautoryzowanym atakującym wymuszenie na serwerze backendowym wysyłania żądań HTTP do kontrolowanych przez atakującego adresów URL.

W wersji 0.1.13 biblioteki scalar/astro odkryto podatność na nieautoryzowane przesyłanie plików w parametrze zapytania scalar_url punktu końcowego Scalar Proxy. Umożliwia to atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku SVG.

Tyler Identity Local (TID-L) używa udokumentowanych, domyślnych danych uwierzytelniających dla administratorów. Użytkownicy nie są zobowiązani do zmiany tych danych przed wdrożeniem.

Krytyczna podatność zdalnego wykonania kodu (RCE) w mechanizmie renderowania szablonów serwera Glassfish. Aplikacja przetwarza pliki .xml i ocenia wyrażenia EL bez odpowiedniej sanityzacji, co pozwala atakującemu na zdalne przejęcie kontroli nad hostem.

W aplikacji GlassFish Administration Console wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) przez uwierzytelnionego użytkownika. Osoba z dostępem do panelu może wysłać spreparowane żądania, które pozwalają na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika usługi.

Podatność CVE-2026-8959 dotyczy błędu w warunkach granicznych w komponencie Widget: Win32, co umożliwia ucieczkę z piaskownicy. Została naprawiona w wersjach Firefox 151, Firefox ESR 140.11, Thunderbird 151 oraz Thunderbird 140.11.