CVE Vulnerability Catalog

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak typu SQL Injection w pliku /ExLogin.php poprzez parametr Password.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak typu SQL Injection w pliku /insertmessage.php poprzez parametr userid.

System księgarni komputerowej code-projects w wersji 1.0 jest podatny na atak związany z przesyłaniem plików w pliku admin_add.php. Umożliwia to nieautoryzowanym użytkownikom przesyłanie złośliwych plików na serwer.

Podatność typu 'Type Confusion' w xray-monolith umożliwia dostęp do zasobów przy użyciu niekompatybilnego typu. Problem ten dotyczy wersji xray-monolith przed 30 grudnia 2025 roku.

Podatność CVE-2026-24872 dotyczy niewłaściwej arytmetyki wskaźników w projekcie ProjectSkyfire w wersji SkyFire_548 przed 5.4.8-stable5. Może to prowadzić do nieprzewidzianych zachowań aplikacji.

Code injection vulnerability in Minecraft-Rcon-Manage before version 3.0. Allows an attacker to inject and execute malicious code.

W podatności CVE-2026-24832 występuje błąd zapisu poza granicami w ixray-team ixray-1.6-stcop, który dotyczy wersji przed 1.3. Może to prowadzić do nieautoryzowanego dostępu do pamięci.

System zarządzania sklepem mobilnym code-projects w wersji 1.0 jest podatny na atak związany z przesyłaniem plików w pliku /ExAddProduct.php.

xrdp to otwartoźródłowy serwer RDP. W wersjach przed 0.10.5 występuje podatność na przepełnienie bufora na stosie, wynikająca z niewłaściwego sprawdzania granic podczas przetwarzania informacji o domenie użytkownika. W przypadku wykorzystania tej podatności, zdalni atakujący mogą wykonać dowolny kod na docelowym systemie.

Dirsearch w wersji 0.4.1 zawiera podatność na wstrzykiwanie CSV, gdy używana jest flaga --csv-report. Umożliwia to atakującym wstrzykiwanie formuł przez przekierowane punkty końcowe.

Wersje Gila CMS przed 2.0.0 zawierają podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych poleceń systemowych poprzez manipulowane nagłówki HTTP. Atakujący mogą wstrzykiwać kod PHP w nagłówku User-Agent, wykorzystując shell_exec() do uruchamiania poleceń systemowych, wysyłając odpowiednio skonstruowane żądania do punktu końcowego administratora.

VestaCP w wersji 0.9.8-26 zawiera podatność na token sesji w module LoginAs, która pozwala zdalnym atakującym na manipulację tokenami uwierzytelniającymi. Atakujący mogą wykorzystać niewystarczającą walidację tokenów do uzyskania dostępu do kont użytkowników i wykonywania nieautoryzowanych żądań logowania bez odpowiednich uprawnień administracyjnych.

Knockpy w wersji 4.1.1 zawiera podatność na wstrzykiwanie CSV, która pozwala atakującym na wstrzykiwanie złośliwych formuł do raportów CSV poprzez nieprzefiltrowane nagłówki serwera. Atakujący mogą manipulować nagłówkami odpowiedzi serwera, aby zawierały formuły arkusza kalkulacyjnego, które zostaną wykonane po otwarciu CSV w aplikacjach arkuszy kalkulacyjnych.

Easy CD & DVD Cover Creator w wersji 4.13 zawiera podatność na przepełnienie bufora w polu wprowadzania numeru seryjnego, co pozwala atakującym na awarię aplikacji. Atakujący mogą wygenerować 6000-bajtowy ładunek i wkleić go do pola numeru seryjnego, co prowadzi do awarii aplikacji.

W podatności CVE-2026-24830 występuje przepełnienie lub owinięcie liczb całkowitych w systemie Ralim IronOS, które dotyczy wersji przed v2.23-rc2.

Multiple vulnerabilities in turso3d (cadaver project) including out-of-bounds write, divide by zero, NULL pointer dereference, use of uninitialized resource, out-of-bounds read, and reachable assertion.

Wykorzystanie znanych domyślnych poświadczeń w interfejsie administracyjnym EZCast Pro II w wersji 1.17478.146 umożliwia atakującym dostęp do chronionych obszarów aplikacji webowej.

Out-of-bounds write and classic buffer overflow in X-TRACK up to v2.7 in inflate.C (PNGdec). May lead to memory corruption.

Out-of-bounds write and heap-based buffer overflow in wxhelper up to 3.9.10.19-v1 in mongoose.C. May lead to memory corruption.

Out-of-bounds read in WickedEngine up to 0.71.727 in lparser.C (LUA). May lead to data disclosure or crash.