Katalog podatności CVE

Dell Unisphere for PowerMax vApp w wersjach 9.2.4.x zawiera podatność typu Command Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach. Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.

Dell Unisphere for PowerMax vApp w wersjach 9.2.4.x zawiera podatność typu OS Command Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach systemu operacyjnego. Wysoko uprzywilejowany atakujący z dostępem zdalnym może potencjalnie wykorzystać tę podatność, prowadząc do zdalnego wykonania kodu.

Wtyczka Polylang od WP SYNTEX do wersji 3.8.9 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Radar przed wersją 1.12.2 zawiera podatność na brak autoryzacji w punkcie WebSocket /api/local-terminal, która pozwala uwierzytelnionym lub nieuwierzytelnionym atakującym na uruchomienie uprzywilejowanej powłoki, opierając się tylko na sprawdzeniu trybu runtime zamiast kontroli dostępu opartej na rolach. Atakujący mogą połączyć się z punktem, aby wykonać /bin/bash -l na hoście Radar z uprawnieniami Radar, nawet gdy ustawiono flagę --disable-local-terminal.

Podatność typu OS Command Injection (niewłaściwa neutralizacja specjalnych elementów w poleceniach systemu operacyjnego) występuje w TR7 ASP firmy TR7 Cyber Defense Inc. zarówno w wersji na urządzeniu wirtualnym, jak i fizycznym. Podatność pozwala na wstrzyknięcie i wykonanie dowolnych poleceń systemowych.

Podatność polegająca na braku uwierzytelniania dla krytycznej funkcji występuje w TR7 ASP firmy TR7 Cyber Defense Inc. zarówno na urządzeniu wirtualnym, jak i fizycznym. Brak uwierzytelniania umożliwia wstrzyknięcie i wykonanie poleceń systemu operacyjnego.

Wykryto wadę w pinie clevis PKCS#11. Demon clevis-pkcs11-afunix-socket-unlock zapisuje hasła szyfrowania dysku LUKS w postaci jawnej do pliku dziennika. Plik dziennika jest tworzony bez restrykcyjnych uprawnień, co czyni go czytelnym dla wszystkich przy domyślnym umask procesu. Lokalny atakujący może odczytać plik dziennika, aby uzyskać hasło LUKS.

Podatność polegająca na deserializacji niezaufanych danych występuje w wtyczce Affiliates firmy itthinx (WordPress). Umożliwia ona wstrzyknięcie obiektu (Object Injection), co może prowadzić do wykonania nieautoryzowanych działań.

Wtyczka JetProductTables od Crocoblock do wersji 1.2.4 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Wtyczka WP OAuth Server (miniOrange) w wersjach do 6.4.0 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka Paid Videochat Turnkey Site od VideoWhisper.com do wersji 7.5.12 zawiera podatność na brak autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Wtyczka Bus Ticket Booking with Seat Reservation (Magepeople inc.) w wersjach do 5.9.7 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień występuje we wtyczce Frontend Dashboard autorstwa M A Vinoth Kumar. Umożliwia ona eskalację uprawnień, pozwalając użytkownikom na uzyskanie wyższych uprawnień niż powinni posiadać.

Wtyczka WP w3all phpBB (axew3.com) w wersjach do 3.1.0 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

Wtyczka Broadcast Live Video od VideoWhisper.com do wersji 7.3.2 zawiera podatność na fiksację sesji (Session Fixation), która umożliwia przechwycenie sesji użytkownika.

Wtyczka Push Notification for Post and BuddyPress (Muralidharan Ramasamy) w wersjach do 3.23 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Google Cloud Application Integration przed wersją 2026-08-27 zawiera podatność na nieprawidłową autoryzację w walidacji AuthConfig i środowisku wykonawczym integracji, która pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i podszycie się pod konto usługi w projekcie. Podatność została załatana 27 sierpnia 2026 roku i nie wymaga działań ze strony klienta.

W komponencie HPE NonStop SNMP Trap Multiplexer wykryto lukę bezpieczeństwa, która może umożliwić zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.