CVE-2026-93956 olivier-ls PHP-FTS Search SearchEngine.php buildHighlights cross site scripting

A flaw has been found in olivier-ls PHP-FTS up to 1.1.2. Affected by this issue is the function SearchEngine::buildHighlights of the file src/SearchEngine.php of the component Search Engine. Executing a manipulation of the argument Query can lead to cross site scripting. The attack may be launche...

CVE-2021-40373

CVE-playsms playsms 1.4.3 には、潜在的な攻撃者がリモートコード実行を可能にする脆弱性があります。 RCE（シェル）を再現する方法: https://playsms.org/ docker pull playsms/playsms:1.4.3 docker run -d -p 80:80 playsms/playsms admin:admin でログインする http://127.0.0.1/index.php?app=main&inc=coremainconfig&op=mainconfigtabs-information-page 攻撃者のマシンで悪意のある...

POC-exploit-for-Dolibarr

Dolibarr example: python3 exploit.py http://example.com login password 127.0.0.1 9001 ---Reverse Shell Exploit for Dolibarr = 17.0.0 CVE-2023-30253--- positional arguments: hostname Target hostname username Username of Dolibarr ERP/CRM password Password of Dolibarr ERP/CRM lhost Listening host fo...

Vvveb-CMS-CVE-2025-8518

Vvveb-CMS-CVE-2025-8518 このリポジトリには、givanz Vvveb 1.0.5 の重大な脆弱性を実証する Proof of Concept PoC が含まれています。この脆弱性により、テンプレート編集権限を持つ認証済みユーザーが、任意の PHP コードをサーバーファイルに書き込むことができ、リモートコード実行 RCE につながります。...

CVE-2018-17553

CVE-2018-17553 CVE-2018-17553 PoC（Navigate CMSバージョン2.8以前） この概念実証は、TCMのBlack Pearlボックスに取り組んでいた時に作成されました。 Metasploitを使う以外にPoCを公開している人は見つけられませんでした。 ハッキングの学習過程でMetasploitを避け、後でそれを使って全てをやり直すつもりなので、同じ状況にある皆さんのために素早くこれを作りました。 このPoCは、すでに手動でCVE-2018-17552を悪用してアクセスを獲得している（または他の方法でアクセスを得ている）ことを前提としています。...

CVE-2024-52430

CVE-2024-52430 Lis Video Gallery = 0.2.1 - 未認証のPHPオブジェクトインジェクション 説明 WordPress用Lis Video...

CVE-2025-26198

🛡️ CVE 開示: CVE-2025-26198 — CloudClassroom-PHP-Project における SQL インジェクション 開示日: 2025年6月18日 CVE ID: CVE-2025-26198 深刻度: CRITICAL CVSS 9.8 🧩 概要 CloudClassroom-PHP-Project v1.0 には、特に loginlinkadmin.php エンドポイントにおいて深刻な SQL インジェクションの脆弱性が存在します。このアプリケーションは、ユーザー入力をサニタイズせずに SQL...

CVE-2024-56058

CVE-2024-56058 VRPConnector = 2.0.1 - 認証不要のPHPオブジェクトインジェクション 説明...

CVE-2024-52375

WordPress Datasets Manager 💥 エクスプロイト作成者: Nxploit Khaled Alenazi 📅 CVE 公開日: 2024年11月14日 🧠 CVSS スコア: 10.0 Critical 🛠 CWE-434: 危険なタイプのファイルの無制限アップロード 📌 概要 Arttia Creative 製 Datasets Manager WordPress プラグインに、バージョン1.5以下 のすべてのバージョンに影響する重大な脆弱性が発見されました。 このプラグインはアップロード処理中にファイルタイプを適切に検証しないため、認証されていない攻撃者が PH...

CVE-2026-76579 LiteSpeed Cache <= 7.9 - Reflected Cross-Site Scripting via ESI 'esi' Parameter

The LiteSpeed Cache plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'esi' parameter in all versions up to, and including, 7.9 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scrip...

CVE-2026-84750: Unrestricted Upload of File with Dangerous Type

The Ultra Addons for Contact Form 7 WordPress plugin before 3.5.51 does not validate the type or extension of files uploaded through one of its form fields, and stores them at a predictable public path with the attacker-chosen extension intact, allowing unauthenticated users to upload arbitrary...

CVE-2026-92807: Improper Control of Generation of Code

The Save as PDF Plugin by PDFCrowd plugin for WordPress is vulnerable to Arbitrary Function Invocation in all versions up to, and including, 4.6.1 via the pdfcreatedcallback shortcode attribute. The evalshortcode function copies any non-button/non-email shortcode attribute verbatim into a custom...

CVE-2026-93956: Improper Neutralization of Input During Web Page Generation

A flaw has been found in olivier-ls PHP-FTS up to 1.1.2. Affected by this issue is the function SearchEngine::buildHighlights of the file src/SearchEngine.php of the component Search Engine. Executing a manipulation of the argument Query can lead to cross site scripting. The attack may be launche...

CVE-2026-93872

Cotonti 1.0.0 is affected by a PHP object injection vulnerability in the comments plugin EditAction . The base64-decoded cb parameter is passed directly to unserialize() without an allowed_classes restriction, allowing registered users with comment write permissions to instantiate arbitrary PHP o...

CVE-2026-93872 Cotonti 1.0.0 PHP Object Injection via Comments Plugin Edit Action cb Parameter

Cotonti 1.0.0 passes the base64-decoded cb parameter to unserialize without allowedclasses restriction in the comments plugin EditAction. Registered users with comment write permissions can instantiate arbitrary PHP objects and potentially achieve file write or code execution through gadget chain...

Exploit for CVE-2026-82226

abraxaslabs.tech · github.com/abraxas ·&...

Exploit for CVE-2026-84753

abraxaslabs.tech · github.com/abraxas ·&...

EUVD-2026-82944

ClipBucket v5 before 5.5.3-182 contains a file upload vulnerability that allows authenticated users to achieve remote code execution by uploading a PHP file with valid image magic bytes through the photo upload endpoint. The FileUpload::manageFile function in fileupload.class.php fails to update...

CVE-2026-88994 All Bootstrap Blocks 1.3.20 - 1.3.31 - Contributor+ LFI via lightspeed Block Attributes

The All Bootstrap Blocks WordPress plugin through 1.3.31 does not validate a block attribute before using it to build a filesystem path that is included at render time, allowing users with contributor-level access and above to include arbitrary local files, disclose their contents, and execute PH...

CVE-2026-88994

The All Bootstrap Blocks WordPress plugin (versions 1.3.20 through 1.3.31 ) contains a Local File Inclusion (LFI) vulnerability in its Lightspeed subsystem. A block attribute is used to build a filesystem path that is included at render time without validation, allowing users with contributor-lev...