Katalog podatności CVE

Wtyczka Custom Twitter Feeds dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting w wersjach do 2.5.4 włącznie. Problem wynika z niewystarczającego zabezpieczenia wyjścia w funkcji CTF_Display_Elements::get_post_text(), co pozwala na wykonanie złośliwego kodu HTML/JavaScript przez nieautoryzowanych użytkowników.

Wtyczka RTMKit Addons dla Elementora w WordPressie jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 2.0.2, poprzez parametr 'path' w akcji AJAX 'get_content'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej do włączenia i wykonania dowolnych plików PHP na serwerze.

Urządzenia punktu dostępu bezprzewodowego ELECOM zawierają podatność na wstrzyknięcie poleceń systemowych w przetwarzaniu parametru ping_ip_addr. W przypadku przetworzenia spreparowanego żądania wysłanego przez zalogowanego użytkownika, może zostać wykonane dowolne polecenie systemowe.

Wtyczka Avada Builder dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'product_order' w wersjach do 3.15.1 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Nowy komponent D-Bus o podwyższonych uprawnieniach, plasmaloginauthhelper, ma kilka problemów, w tym możliwość zmiany właściciela dowolnych plików w systemie przez skompromitowane konto usługi plasmalogin.

Podatność CVE-2024-47091 dotyczy podwyższenia uprawnień w wtyczce agenta mk_mysql na systemie Windows w wersjach Checkmk <2.4.0p29, <2.3.0p47 oraz 2.2.0 (EOL). Umożliwia lokalnemu użytkownikowi bez uprawnień stworzenie usługi Windows o nazwie 'MySQL' lub 'MariaDB', co pozwala na wykonanie dowolnego kodu w kontekście usługi agenta Checkmk, która zazwyczaj działa jako SYSTEM.

Zidentyfikowano podatność w rozszerzeniach Ranchera, która umożliwia wstrzyknięcie złośliwego kodu poprzez przejście ścieżki w polu `compressedEndpoint` w wdrożeniu `UIPlugin`. Złośliwe rozszerzenie UI może wykorzystać tę lukę do nadpisania binariów lub konfiguracji Ranchera.

Wtyczka JoomSport – dla sportów: drużyny i ligi, piłka nożna, hokej i inne dla WordPressa jest podatna na atak typu time-based blind SQL Injection poprzez parametr 'sortf' w wersjach do 5.7.7 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Instalator Bytello Share (edycja Windows) ładował dynamiczne biblioteki linków w sposób niebezpieczny. Jeśli w tym samym katalogu co instalator znajduje się stworzona złośliwa biblioteka DLL, może zostać wykonany dowolny kod z uprawnieniami użytkownika uruchamiającego instalator.

Nieprawidłowy eksport komponentów aplikacji na Androida w OmaCP przed wydaniem SMR May-2026 Release 1 umożliwia lokalnym atakującym wywoływanie uprzywilejowanych funkcji.

Nieprawidłowa walidacja danych wejściowych w funkcji FacAtFunction w Galaxy Watch przed wydaniem SMR maj-2026 Release 1 umożliwia lokalnemu atakującemu wykonanie dowolnego kodu z uprawnieniami systemowymi.

Wtyczka coreActivity: Activity Logging dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 3.0 włącznie. Problem wynika z braku walidacji lub usuwania składni serializacji PHP z nagłówka User-Agent przed zapisaniem go w tabeli logmeta.

Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.

Wykorzystanie podatności SQL injection może umożliwić zdalnemu, uwierzytelnionemu atakującemu wykonanie dowolnych poleceń przez określony interfejs, co potencjalnie pozwala na dostęp, modyfikację lub usunięcie wrażliwych informacji w bazie danych.

W sterowniku chmurowym ionic dla VMWare ESXi występuje dereferencja wskaźnika, która nie jest zaufana, co może umożliwić atakującemu z nieuprzywilejowaną maszyną wirtualną odczyt pamięci jądra lub pamięci współlokalizowanej maszyny wirtualnej gościa.

Występuje przepełnienie bufora oparte na stercie w sterowniku chmurowym Ionic dla VMware ESXi, co może umożliwić atakującemu eskalację uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

Występuje przepełnienie bufora oparte na stercie w sterowniku chmurowym Ionic dla VMware ESXi, co może umożliwić atakującemu eskalację uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

Brak ochrony bitu blokady dla rejestrów NBIO może pozwolić lokalnemu atakującemu z uprawnieniami administratora na uzyskanie dowolnego dostępu do System Management Network (SMN), co może prowadzić do wykonania dowolnego kodu w AMD Secure Processor (ASP) oraz utraty poufności i integralności gościa SEV-SNP.

Instalacja Fuji Tellus dodaje sterownik jądra, który przyznaje wszystkim użytkownikom uprawnienia do odczytu i zapisu. Oznacza to, że każdy użytkownik systemu może uzyskać nieautoryzowany dostęp do krytycznych zasobów jądra.