CVE Vulnerability Catalog

Podatność w Thunderbirdzie związana z izolacją procesów wynikała z niewłaściwego przetwarzania URI javascript:, co mogło pozwolić na wykonanie treści w procesie dokumentu głównego zamiast w zamierzonym ramce, co potencjalnie umożliwiało ucieczkę z piaskownicy.

A vulnerability in PHPGurukul Hostel Management System 2.1 in the /hostel/change-password.php file of the user panel (Change Password component) allows session hijacking. Improper session data handling enables remote session takeover.

A critical vulnerability in PHPGurukul User Registration & Login and User Management System V3.3 in the /loginsystem/change-password.php file of the user panel. Improper session data handling allows a Session Hijacking attack, leading to account takeover.

A vulnerability in the Online Banquet Booking System V1.2 allows a remote attacker to execute arbitrary code via the /obbs/change-password.php file in the change password component.

Podatność CVE-2025-3200 dotyczy nieautoryzowanego zdalnego atakującego, który może wykorzystać niebezpieczne protokoły TLS 1.0 i TLS 1.1 do przechwytywania i manipulowania zaszyfrowanymi komunikacjami między Com-Server a podłączonymi systemami.

NETSCOUT nGeniusONE w wersjach przed 6.4.0 P11 b3245 ma słabą konfigurację Sudo, co może prowadzić do nieautoryzowanego dostępu do systemu.

Halo to narzędzie do budowy stron internetowych typu open source. Przed wersją 2.20.13 istniała podatność, która pozwalała atakującym na obejście kontroli walidacji typów plików, co umożliwiało przesyłanie złośliwych plików, w tym plików wykonywalnych i HTML.

Wtyczka Service Finder Bookings dla WordPressa, używana w motywie Service Finder - Directory and Job Board, jest podatna na eskalację uprawnień we wszystkich wersjach do 5.1 włącznie. Problem wynika z braku ograniczeń dotyczących ról użytkowników w funkcji 'nsl_registration_store_extra_input'.

API interfejsu graficznego Quantum StorNext przed wersją 7.2.4 umożliwia potencjalne zdalne wykonanie dowolnego kodu (RCE) poprzez przesłanie pliku. Dotyczy to również StorNext RYO, StorNext Xcellis Workflow Director oraz ActiveScale Cold Storage przed wersją 7.2.4.

WGS-80HPT-V2 oraz WGS-4215-8T2S mają lukę w zabezpieczeniach, która pozwala atakującemu na utworzenie konta administratora bez znajomości jakichkolwiek istniejących poświadczeń. Brak autoryzacji stwarza poważne zagrożenie dla systemu.

UNI-NMS-Lite wykorzystuje twardo zakodowane dane uwierzytelniające, co może pozwolić nieautoryzowanemu atakującemu na odczyt, manipulację oraz tworzenie wpisów w zarządzanej bazie danych.

UNI-NMS-Lite wykorzystuje twardo zakodowane dane uwierzytelniające, które mogą umożliwić nieautoryzowanemu atakującemu uzyskanie uprawnień administracyjnych do wszystkich urządzeń zarządzanych przez UNI-NMS.

Urządzenia WGS-80HPT-V2 i WGS-4215-8T2S są podatne na atak typu injection komend, który może umożliwić nieautoryzowanemu atakującemu wykonanie poleceń systemu operacyjnego na systemie gospodarza.

UNI-NMS-Lite jest podatny na atak typu injection poleceń, który może umożliwić nieautoryzowanemu atakującemu odczyt lub manipulację danymi urządzenia.

h11 to implementacja HTTP/1.1 w Pythonie. Przed wersją 0.16.0, luźne podejście h11 do analizy terminatorów linii w ciałach wiadomości kodowanych w chunked może prowadzić do podatności na smuggling żądań w określonych warunkach. Problem został naprawiony w wersji 0.16.0.

YoutubeDLSharp to wrapper dla narzędzi do pobierania wideo z linii poleceń, takich jak youtube-dl i yt-dlp. W wersjach od 1.0.0-beta4 do 1.1.2 występuje niebezpieczna konwersja argumentów, która umożliwia wstrzyknięcie złośliwych poleceń podczas uruchamiania `yt-dlp` w systemie Windows z włączonym domyślnym ustawieniem `UseWindowsEncodingWorkaround` na true.

Podatność CVE-2025-46264 wtyczki PowerPress Podcasting umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji PowerPress Podcasting od n/a do 11.12.5 włącznie.

Podatność CVE-2025-46248 dotyczy niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji Frontend Dashboard w wersjach od n/a do 2.2.5.