Katalog podatności CVE

Podatność w KnoxGuardManager przed wersją SMR Lipiec-2026 Wydanie 1 umożliwia lokalnym atakującym ominięcie konfiguracji trwałości aplikacji z powodu nieprawidłowej autoryzacji.

Podatność typu path traversal w usłudze Wallpaper przed wersją SMR Lipiec-2026 Wydanie 1 umożliwia lokalnym uprzywilejowanym atakującym dostęp do plików z uprawnieniami serwera systemowego.

Podatność w SamsungSEAgentService przed wersją SMR Lipiec 2026 Release 1 umożliwia lokalnym atakującym dostęp do poufnych informacji z powodu nieprawidłowej kontroli dostępu.

Podatność w IAFDService przed wersją SMR Lipiec 2026 Release 1 umożliwia lokalnym uprzywilejowanym atakującym korzystanie z uprzywilejowanych interfejsów API z powodu nieprawidłowej kontroli dostępu.

W systemie Settings przed wersją SMR Lipiec-2026 Wydanie 1 wykryto nieprawidłową kontrolę dostępu. Luka umożliwia lokalnym atakującym zmianę ustawień ochrony przed kradzieżą.

W zhayujie CowAgent do wersji 2.1.0 wykryto lukę bezpieczeństwa w pliku channel/channel.py w komponencie Message Endpoint. Brak autoryzacji w nieznanej funkcji umożliwia zdalne ataki bez uwierzytelnienia. Exploit został opublikowany i może być wykorzystywany w atakach.

W zhayujie CowAgent do wersji 2.1.0 wykryto podatność na path traversal w funkcji _add_url/_add_package pliku agent/skills/service.py. Manipulacja argumentem Name umożliwia zdalne wykonanie ataku.

Wtyczka ARMember dla WordPressa jest podatna na przechodzenie między katalogami we wszystkich wersjach do 4.0.27 włącznie, poprzez nagłówek HTTP 'X-FILENAME'. Umożliwia to nieuwierzytelnionym atakującym przesyłanie i nadpisywanie plików (np. CSS) w katalogach poza 'wp-content/uploads/armember'.

Wtyczka BuddyHolis TableSearch dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'placeholder' we wszystkich wersjach do 1.1.0 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Animation Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez parametry 'weather_style' i 'move_direction' widgetu pogodowego. Podatność występuje we wszystkich wersjach do 2.6.3 włącznie, z powodu braku odpowiedniego escapowania danych wyjściowych w funkcji render() widgetu.

Wtyczka Brevo (dawniej Sendinblue) dla WordPressa do newsletterów, SMTP i marketingu e-mail jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'page' we wszystkich wersjach do 3.1.77 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka affiliate-toolkit – WP Affiliate Plugin z Amazon dla WordPressa jest podatna na przechowywany atak XSS poprzez shortcode 'atkp_product' we wszystkich wersjach do 3.7.0 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika. Jest to obejście podatności CVE-2024-10227.

Wtyczka Sudoku Shortcode dla WordPressa jest podatna na trwałe ataki XSS poprzez parametr 'background' w shortcode 'sudoku-sc' we wszystkich wersjach do 1.0.0 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Booking calendar, Appointment Booking System dla WordPress jest podatna na atak SQL Injection oparty na czasie przez parametr 'wpdevart_id' w wersjach do 3.2.17 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress jest podatna na czasową iniekcję SQL przez parametr order_by we wszystkich wersjach do 4.6.18 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Gutenberg Blocks with AI by Kadence WP dla WordPressa w wersjach do 3.5.32 włącznie zawiera podatność umożliwiającą nieautoryzowane publikowanie postów. Problem wynika z błędnej konfiguracji sprawdzania uprawnień w funkcji 'get_items_permission_check' dla punktu końcowego REST API 'process_pattern'.

Wtyczka Plus Addons for Elementor dla WordPressa do wersji 6.4.11 zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) z poziomu uwierzytelnionego użytkownika (rola Współautor lub wyższa). Podatność występuje w widżecie Button przez parametr `custom_attributes`, gdzie funkcja `render` przekazuje nieprzefiltrowany ciąg znaków do funkcji `tp_senitize_js_input()`, która może być ominięta.

Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().

Wtyczka WPvivid Backup for MainWP dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 0.9.33 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.1 włącznie zawiera podatność na nieprawidłową autoryzację w parametrze 'subscription_id'. Brak wystarczających kontroli własności w procesie anulowania płatności AJAX umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym anulowanie subskrypcji innych użytkowników.