Katalog podatności CVE

Dell PowerScale InsightIQ w wersjach od 6.0.0 do 6.2.0 zawiera podatność na wstrzyknięcie poleceń systemowych z powodu niewłaściwego neutralizowania specjalnych elementów. Atakujący z wysokimi uprawnieniami i lokalnym dostępem może wykorzystać tę podatność do wykonania poleceń.

Podatność w filtrze bezpiecznym (safe filter) powoduje, że po rozwinięciu zmiennych wszystkie kolejne potoki na tym samym łańcuchu są błędnie interpretowane jako bezpieczne, co umożliwia usunięcie escapowania niebezpiecznych danych. Może to prowadzić do ataków SQL lub LDAP injection, szczególnie w kontekście uwierzytelniania.

Siemens Simcenter Femap zawiera podatność na uszkodzenie pamięci podczas analizy specjalnie przygotowanych plików IPT. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.

Występuje podatność na niewystarczającą entropię, która może prowadzić do nieautoryzowanego dostępu, gdy atakujący w sieci wykorzysta słabości w zabezpieczeniach zarządzania sesjami.

W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.

Wtyczka Xpro Elementor Addons zawiera podatność na SQL Injection, która umożliwia przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji od n/a do 1.5.1.

W podatności CVE-2026-45213 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w edytorze woo-bulk-editor RealMag777 BEAR. Problem dotyczy wersji BEAR od n/a do 1.1.7.1 włącznie.

W podatności CVE-2026-45211 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce APIExperts Square dla WooCommerce w wersjach do 4.7.1.

W podatności CVE-2026-42742 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Aman Views dla WPForms. Problem dotyczy wersji Views for WPForms od n/a do 3.4.6.

W podatności CVE-2026-42741 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Ninja Forms Views. Problem dotyczy wersji od n/a do 3.3.2.

Złośliwy użytkownik może stworzyć dane wejściowe, które zostaną zapisane w pamięci konwersacji i później zinterpretowane przez model w niezamierzony sposób. Aplikacje korzystające z podatnego doradcy z kontrolowanym przez użytkownika wejściem mogą być podatne na manipulację zachowaniem modelu w trakcie rozmowy.

Komponent pamięci czatu Spring AI zawierał problematyczne ustawienie domyślne, które, jeśli nie zostanie wyraźnie nadpisane, może prowadzić do niezamierzonego ujawnienia danych między użytkownikami.

W podatności CVE-2026-2465 występuje błąd autoryzacji w oprogramowaniu Turboard FOR-S, który umożliwia eskalację uprawnień. Problem ten dotyczy wersji oprogramowania od 7.01.2026 do 18.02.2026.

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.

Podatność w BAPSİS firmy ABIS Technology Ltd. Co. umożliwia obejście autoryzacji poprzez wykorzystanie klucza kontrolowanego przez użytkownika, co pozwala na wykorzystanie zaufanych identyfikatorów.

W serwerze Code Runner MCP występuje podatność na zdalne wykonanie kodu, gdy jest uruchamiany z opcją --transport http, co naraża punkt końcowy /mcp JSON-RPC na brak uwierzytelnienia na porcie 3088. Nieautoryzowany zdalny atakujący może wywołać narzędzie run-code MCP, aby dostarczyć dowolny kod źródłowy i wykonać go za pomocą child_process.exec().

Zidentyfikowano podatność w Solid Edge SE2026 (wszystkie wersje < V226.0 Update 5), która polega na przepełnieniu stosu podczas analizy specjalnie przygotowanych plików PAR. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.

W aplikacji Solid Edge SE2026 przed wersją V226.0 Update 5 wykryto podatność polegającą na dostępie do niezainicjalizowanego wskaźnika podczas przetwarzania specjalnie spreparowanych plików PAR. Umożliwia to zdalne wykonanie kodu w kontekście bieżącego procesu.