CVE Vulnerability Catalog

Podatność typu SQL Injection w wersji 1.0.7 i wcześniejszych w bazie danych vran-dev umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr zapytania w punkcie końcowym API wyszukiwania.

Problem w komponencie HwRwDrv.sys narzędzia Nil Hardware Editor Hardware Read & Write Utility w wersji 1.25.11.26 i wcześniejszych umożliwia atakującym wykonywanie dowolnych operacji odczytu i zapisu za pomocą spreparowanego żądania.

W urządzeniach Mobvoi Tichome Mini (modele 012-18853 i 027-58389) występuje podatność na wstrzykiwanie poleceń powłoki, która umożliwia zdalnym atakującym wysyłanie specjalnie przygotowanych datagramów UDP i wykonywanie dowolnego kodu powłoki jako konto root.

Wersja 3.4.2 i wcześniejsze 2N Access Commander niewłaściwie unieważniają tokeny sesji, co pozwala na utrzymanie aktywnych wielu ciasteczek sesyjnych po wylogowaniu z aplikacji webowej.

Missing Authentication for Critical Function (CWE-306) vulnerability in Apache Artemis and Apache ActiveMQ Artemis. An unauthenticated remote attacker can use the Core protocol to force a target broker to establish an outbound Core federation connection to an attacker-controlled rogue broker. This could potentially result in message injection into any queue and/or message exfiltration from any queue via the rogue broker.

SEPPmail Secure Email Gateway przed wersją 15.0.1 niewystarczająco neutralizuje hasło szyfrowania PDF, co umożliwia wykonanie poleceń systemowych.

Odbiornik satelitarny SFX Series SuperFlex (SFX2100) firmy International Datacasting Corporation (IDC) zawiera twardo zakodowane i niebezpieczne dane logowania dla konta `admin`. Zdalny, nieautoryzowany atakujący może wykorzystać te nieudokumentowane dane logowania do bezpośredniego dostępu do systemu satelitarnego za pośrednictwem usługi Telnet.

Odbiornik satelitarny SFX Series SuperFlex firmy International Datacasting Corporation (IDC) zawiera nieudokumentowane, twardo zakodowane/niebezpieczne dane logowania dla konta użytkownika `xd`. Zdalny, nieautoryzowany atakujący może zalogować się przez FTP, wykorzystując te dane.

Odbiornik satelitarny SFX2100 firmy International Datacasting Corporation (IDC) posiada trywialne hasło dla konta `user` (usr). Zdalny, nieautoryzowany atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu SSH do systemu.

Odbiornik satelitarny SuperFlex serii SFX firmy International Datacasting Corporation (IDC) zawiera twardo zakodowane dane logowania dla konta `monitor`. Zdalny, nieautoryzowany atakujący może wykorzystać te proste, nieudokumentowane dane logowania do uzyskania dostępu do systemu przez SSH.

W usłudze SNMP w odbiorniku satelitarnym SFX Series SuperFlex firmy International Datacasting Corporation (IDC) występuje podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia. Domyślnie, usługa ta niebezpiecznie udostępnia `private` ciąg społeczności SNMP z dostępem do odczytu i zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń systemowych z uprawnieniami roota.

W podatności CVE-2026-3266 w OpenText™ Filr występuje brak autoryzacji, co umożliwia obejście uwierzytelnienia. Umożliwia to nieautoryzowanym użytkownikom uzyskanie tokena XSRF i wykonywanie zdalnych wywołań procedur (RPC) za pomocą starannie przygotowanych programów.

FreeScout to darmowy system pomocy technicznej i wspólna skrzynka odbiorcza zbudowana na frameworku Laravel. W wersjach FreeScout 1.8.206 i wcześniejszych występuje luka umożliwiająca zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku .htaccess z prefiksem znaku zerowej szerokości, co omija zabezpieczenia.

Qwik to framework JavaScript skoncentrowany na wydajności. Wersje qwik do 1.19.0 są podatne na zdalne wykonanie kodu (RCE) z powodu niebezpiecznej deserializacji w mechanizmie server$ RPC, co pozwala nieautoryzowanym użytkownikom na wykonanie dowolnego kodu na serwerze za pomocą jednego żądania HTTP.

Froxlor to oprogramowanie do zarządzania serwerem typu open source. W wersjach przed 2.3.4 wystąpił błąd w kodzie walidacji wejścia, który całkowicie wyłączał sprawdzanie formatu adresu e-mail dla wszystkich pól ustawień zadeklarowanych jako typ e-mail. To umożliwia uwierzytelnionemu administratorowi zapisanie dowolnych ciągów w ustawieniu panel.adminmail.

W menedżerze haseł AliasVault zidentyfikowano podatność typu XSS w funkcji renderowania e-maili w wersjach 0.25.3 i niższych. Atakujący może wysłać spreparowany e-mail z złośliwym skryptem JavaScript, który zostanie wykonany w kontekście aplikacji, gdy ofiara wyświetli ten e-mail.

W Devolutions Server 2025.3.15.0 i wcześniejszych wersjach występuje luka w autoryzacji, która pozwala nieautoryzowanemu użytkownikowi na uwierzytelnienie się jako dowolny użytkownik Entra ID za pomocą sfałszowanego tokena JWT.

Nieprawidłowa walidacja danych wejściowych na stronie komunikatów o błędach w Devolutions Server 2025.3.16 i wcześniejszych wersjach umożliwia zdalnym atakującym fałszowanie wyświetlanego komunikatu o błędzie za pomocą specjalnie przygotowanego URL.

W Devolutions Server 2025.3.15 i wcześniejszych wersjach występuje niewłaściwe egzekwowanie kontroli behawioralnych, co pozwala uwierzytelnionemu atakującemu z uprawnieniami do usuwania na usunięcie konta PAM, które jest aktualnie wypożyczone, poprzez zaznaczenie go obok przynajmniej jednego konta, które nie jest wypożyczone, i wykonanie masowego usunięcia.

In Devolutions Remote Desktop Manager 2025.3.30 and earlier, there is improper enforcement of the Disable password saving in vaults setting. This allows an authenticated user to persist credentials in vault entries, potentially exposing sensitive information to other users.