CVE Vulnerability Catalog

Infinite loop vulnerability in tis before v4.3.0 in ChangeDomainAction.Java. May lead to service hang.

Unrestricted file upload and untrusted data deserialization in tis before v4.3.0 in XmlFile.Java. May allow uploading malicious files and code execution.

Integer overflow vulnerability in swoole-src before 6.0.2 in sds.C (hiredis). May lead to unexpected behavior or memory corruption.

Vulnerability in root-project root up to 6.36.00-rc1 in inftrees.C (zlib). Exact type not specified, but may lead to malfunction.

Podatność w projekcie root (moduły builtins/zlib) związana z plikami programowymi inffast.C. Problem ten dotyczy oprogramowania root.

Classic buffer overflow in rethinkdb up to v2.4.4 in cJSON.Cc. May lead to memory corruption.

Infinite loop vulnerability in the lede project (mt7603e driver modules) related to bn_lib.C files. Versions through r25.10.1 are affected.

Infinite loop vulnerability in the lede project (mt7615d driver modules) related to bn_lib.C files. Versions through r25.10.1 are affected.

Classic buffer overflow (out-of-bounds write) vulnerability in the furnace project (zlib modules) related to inflate.C files.

Improper restriction of memory buffer operations in DagorEngine (miniupnpc modules) related to upnpreplyparse.C files. Versions through dagor_2025_01_15 are affected.

Improper restriction of memory buffer operations in the cardboard project (WorldImpl modules) related to WorldImpl.Java files. Versions before 1.21.4 are affected.

Podatność CVE-2026-24793 dotyczy błędu zapisu poza granicami w module zlib w azerothcore-wotlk, co prowadzi do klasycznego przepełnienia bufora. Problem ten występuje w plikach programu inflate.C i dotyczy wersji azerothcore-wotlk do v4.0.0.

HUSTOF to otwartoźródłowy system oceny online oparty na PHP/C++/MySQL/Linux, używany w treningach ACM/ICPC i NOIP. W wersjach przed 26.01.24 moduły problem_import_qduoj.php i problem_import_hoj.php nieprawidłowo sanitizują nazwy plików w przesyłanych archiwach ZIP, co umożliwia atakującym wykonanie złośliwego kodu.

W wersjach od 1.4.0 do 3.27.7 biblioteki AssertJ występuje podatność typu XML External Entity (XXE) w metodzie `toXmlDocument(String)` klasy `XmlStringPrettyFormatter`. Problem polega na tym, że `DocumentBuilderFactory` jest inicjowany z domyślnymi ustawieniami, co nie wyłącza DTD ani zewnętrznych encji.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.10.2, sanizacja callbacków `Promise.prototype.then` i `Promise.prototype.catch` może zostać ominięta, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.

Vulnerability in dcap-qvl before version 0.3.9 involves skipping verification of the QE Identity signature and not enforcing policy constraints on the QE Report. An attacker can forge QE Identity data to whitelist a malicious or non-Intel Quoting Enclave, allowing them to sign untrusted quotes that the verifier accepts as valid.

Shenzhen Tenda W30E V2 firmware up to V16.01.0.19(5037) does not enforce rate limiting or account lockout on authentication endpoints, allowing unrestricted brute-force attacks against administrative credentials.

Shenzhen Tenda W30E V2 firmware up to V16.01.0.19(5037) ships with a predefined default password for a built-in authentication account that is not required to be changed during initial configuration. An attacker can leverage these default credentials to gain authenticated access to the management interface.

Wersja 4.5.0 SpringBlade zawiera nieprawidłowe zabezpieczenia dostępu w funkcji importUser, co pozwala atakującym z niskimi uprawnieniami na dowolne importowanie wrażliwych danych użytkowników.

Command injection vulnerability in Apache Continuum (all versions). Attackers with access to the installation's REST API can invoke arbitrary commands on the server. The project is retired, so no fix is planned.