CVE Vulnerability Catalog

W urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521 znaleziono lukę, która dotyczy funkcji setWiFiAclRules w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem mode prowadzi do zdalnej injekcji poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setNtpCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem tz prowadzi do wstrzyknięcia poleceń systemowych.

Wykryto podatność bezpieczeństwa w urządzeniu Totolink A8000RU 7.1cu.643_b20200521, która dotyczy funkcji setStorageCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem sambaEnabled prowadzi do wstrzyknięcia poleceń systemowych.

Zidentyfikowano słabość w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji setDmzCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler, gdzie manipulacja argumentem wanIdx może prowadzić do wstrzyknięcia poleceń systemowych.

Wersje ProjeQtor od 7.0 do 12.4.3 zawierają podatność na nieautoryzowaną iniekcję SQL w funkcji logowania, gdzie zmienna logowania jest bezpośrednio łączona z zapytaniem SQL bez parametryzacji lub sanitizacji. Atakujący mogą wstrzykiwać dowolne wyrażenia SQL przez pole nazwy użytkownika w punkcie uwierzytelniania.

A remote code execution (RCE) vulnerability in the /devserver/start endpoint of leonvanzyl autocoder commit 79d02a allows attackers to execute arbitrary code by providing a crafted command parameter.

Zidentyfikowano podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji setWiFiEasyCfg w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem merge prowadzi do wstrzyknięcia poleceń systemowych.

W Totolink A8000RU w wersji 7.1cu.643_b20200521 zidentyfikowano podatność w funkcji setIpv6LanCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem addrPrefixLen może prowadzić do wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, dotycząca funkcji setIptvCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem setIptvCfg prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setUPnPCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem enable prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

W urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521 znaleziono lukę, która dotyczy funkcji setWizardCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem wizard prowadzi do zdalnej iniekcji poleceń systemowych.

A vulnerability in the Apache Camel Camel-Coap component allows an unauthenticated attacker to achieve remote code execution by sending a single CoAP UDP packet. Lack of header filtering causes query parameters to be directly mapped to Camel headers, enabling injection of headers that control system command execution.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce Directorist Social Login umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki przed 2.1.4.

W podatności CVE-2026-22336 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Directorist Booking. Problem dotyczy wersji Directorist Booking przed 3.0.2.

Poprawka dla CVE-2024-52046 w Apache MINA AbstractIoBuffer.getObject() była niekompletna. Lista dozwolonych klas do deserializacji została zastosowana zbyt późno, co mogło prowadzić do wykonania statycznego inicjalizatora w klasie przed jej zastosowaniem.

The Camel-Mail component in Apache Camel fails to filter MIME headers in the 'in' direction, allowing an attacker to inject Camel-specific headers by delivering a crafted email. The vulnerability affects versions from 3.0.0 to 4.14.5 and from 4.15.0 to 4.18.0.

W metodzie AbstractIoBuffer.resolveClass() w Apache MINA występuje luka, która pozwala na pominięcie listy dozwolonych nazw klas dla statycznych klas lub typów prymitywnych, co umożliwia wykonanie dowolnego kodu. Problem został rozwiązany w wersjach Apache MINA 2.0.28, 2.1.11 i 2.2.6 poprzez wcześniejsze zastosowanie listy dozwolonych nazw klas.

A vulnerability in Apache Camel allows remote code execution via deserialization of untrusted data from JMS ObjectMessage. The issue affects camel-jms, camel-sjms, camel-sjms2, camel-amqp, camel-activemq, and camel-activemq6 components.

The fix for CVE-2025-27636 added setLowerCase(true) to HttpHeaderFilterStrategy but not to five other HeaderFilterStrategy implementations in Apache Camel. An attacker with JMS broker access can inject case-variant Camel headers, leading to remote code execution and arbitrary file write.

GeoVision GV-IP Device Utility 9.0.5 sends privileged commands via UDP broadcast, encrypting credentials with a Blowfish-like algorithm, but the symmetric key is included in the packet. An attacker on the same LAN can capture broadcast traffic and decrypt the credentials.