CVE Vulnerability Catalog

Wykryto podatność w urządzeniu Wavlink WL-WN579A3 220323, która dotyczy funkcji SetName/GuestWifi w pliku /cgi-bin/wireless.cgi. Manipulacja tą funkcją prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

The SimpleEval library before version 1.0.5 allows dangerous modules and functions to leak into the sandbox. Attackers can access forbidden objects through attributes of passed names or by passing them as callbacks to safe functions.

W platformie Angular zidentyfikowano podatność typu Cross-Site Scripting (XSS) w wersjach przed 22.0.0-next.3, 21.2.4, 20.3.18 i 19.2.20. Problem występuje, gdy aplikacja używa atrybutu wrażliwego na bezpieczeństwo w połączeniu z możliwością internacjonalizacji atrybutów, co może prowadzić do wstrzyknięcia złośliwego skryptu.

AnythingLLM to aplikacja, która przekształca treści w kontekst używany przez LLM podczas czatowania. W wersji 1.11.1 i wcześniejszych, aplikacja zawiera podatność XSS w fazie renderowania czatu, która może prowadzić do zdalnego wykonania kodu na hoście z powodu niebezpiecznej konfiguracji Electron.

W Apollo Federation, przed wersjami 2.9.6, 2.10.5, 2.11.6, 2.12.3 i 2.13.2, występuje podatność w wykonaniu planu zapytań w bramce, która może umożliwić zanieczyszczenie Object.prototype w określonych scenariuszach. Złośliwy klient może zanieczyścić Object.prototype w bramce, tworząc operacje z aliasami pól i/lub nazwami zmiennych, które celują w właściwości dziedziczone przez prototyp.

W Smart Switch przed wersją 3.7.69.15 występuje niewłaściwa autoryzacja, która pozwala zdalnym atakującym na ominięcie procesu uwierzytelniania.

Nieprawidłowa weryfikacja podpisu kryptograficznego w Smart Switch przed wersją 3.7.69.15 umożliwia zdalnym atakującym potencjalne ominięcie uwierzytelnienia.

Raytha CMS nie posiada mechanizmu ochrony przed atakami typu brute force, co umożliwia atakującemu wysyłanie wielu zautomatyzowanych próśb logowania bez wywoływania blokady, ograniczeń prędkości czy dodatkowych wyzwań.

Podatność CVE-2025-15060 dotyczy narzędzia claude-hovercraft i pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji ciągu znaków dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

Router Telesquare SKT LTE SDT-CS3B1 w wersji 1.2.0 zawiera podatność na nieautoryzowane przesyłanie plików, która pozwala atakującym na przesyłanie złośliwej zawartości poprzez wykorzystanie włączonych metod HTTP WebDAV. Atakujący mogą używać metod PUT, DELETE, MKCOL, MOVE, COPY i PROPPATCH do przesyłania kodu wykonywalnego, usuwania plików lub manipulowania zawartością serwera.

Oprogramowanie układowe routera Telesquare SKT LTE SDT-CS3B1 w wersji 1.2.0 zawiera podatność na niebezpieczne bezpośrednie odniesienie do obiektów, co pozwala atakującym na obejście autoryzacji i dostęp do zasobów poprzez manipulację parametrami wejściowymi dostarczanymi przez użytkownika. Atakujący mogą bezpośrednio odnosić się do obiektów w systemie, aby uzyskać wrażliwe informacje i dostęp do funkcji bez odpowiednich kontroli dostępu.

ZKTeco ZKBioSecurity 3.0 contains a user enumeration vulnerability that allows unauthenticated attackers to discover valid usernames by submitting partial characters via the username parameter.

ZKTeco ZKBioSecurity 3.0 contains hardcoded credentials in the bundled Apache Tomcat server that allow unauthenticated attackers to access the manager application. Attackers can authenticate with hardcoded credentials stored in tomcat-users.xml to upload malicious WAR archives containing JSP applications and execute arbitrary code with SYSTEM privileges.

ZKTeco ZKTime.Net version 3.0.1.6 contains an insecure file permissions vulnerability that allows unprivileged users to escalate privileges by modifying executable files. Attackers can exploit world-writable permissions on the ZKTimeNet3.0 directory and its contents to replace executable files with malicious binaries.

Wtyczka Pix for WooCommerce dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku weryfikacji uprawnień oraz walidacji typu pliku w funkcji 'lkn_pix_for_woocommerce_c6_save_settings' we wszystkich wersjach do 1.5.0 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W podatności CVE-2026-32367 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w bibliotece Modal Dialog w wersjach od n/a do 3.5.16. Atakujący może wykorzystać tę lukę do wprowadzenia złośliwego kodu.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. W wersjach przed 10.0.23, API agregacji telemetrycznej akceptowało parametry kontrolowane przez użytkownika, co umożliwiało wstrzykiwanie dowolnego SQL do zapytań ClickHouse, co prowadziło do poważnych zagrożeń dla bezpieczeństwa.

In the Locutus library prior to version 3.0.14, the create_function(args, code) function passes both parameters directly to the Function constructor without any sanitization, allowing arbitrary JavaScript code execution. This vulnerability affects the v3.x branch and is distinct from CVE-2026-29091.

Centrifugo to otwartoźródłowy serwer wiadomości w czasie rzeczywistym, który przed wersją 6.7.0 jest podatny na atak typu Server-Side Request Forgery (SSRF) przy skonfigurowanym dynamicznym adresie URL JWKS z użyciem zmiennych szablonowych. Nieautoryzowany atakujący może stworzyć JWT z złośliwą wartością roszczenia iss lub aud, co prowadzi do wysłania żądania HTTP do kontrolowanego przez atakującego miejsca.

Dagu to silnik workflow z wbudowanym interfejsem użytkownika w sieci. W wersjach przed 2.2.4 pole żądania dagRunId akceptowane przez punkty końcowe wykonania DAG inline nie jest walidowane, co pozwala na wykorzystanie segmentów .. do przekierowania ścieżki katalogu tymczasowego poza zamierzony katalog.