CVE Vulnerability Catalog

Oprogramowanie układowe serii Snap One WattBox 800 i 820 w wersjach przed 2.10.0.0 zawiera nieujawnione punkty końcowe diagnostyczne HTTP, które wymagają jedynie adresu MAC urządzenia i tagu serwisowego do uwierzytelnienia. Oba te elementy są wydrukowane w postaci niezaszyfrowanej na etykiecie fizycznej urządzenia.

OpenClaw before version 2026.3.22 contains a privilege escalation vulnerability where bootstrap setup codes are not bound to intended device roles and scopes during pairing. Attackers can exploit this during first-use device pairing to escalate privileges beyond their intended role and scope.

The Carlson VASCO-B GNSS Receiver lacks an authentication mechanism, allowing an attacker with network access to directly access and modify its configuration and operational functions without needing credentials.

The NVIDIA NVFlare Dashboard contains a vulnerability in the user management and authentication system that allows an unauthenticated attacker to bypass authorization through a user-controlled key. Successful exploitation of this vulnerability may lead to privilege escalation, data tampering, information disclosure, code execution, and denial of service.

Podatność CVE-2026-41873 dotyczy niekonsekwentnej interpretacji żądań HTTP w Pony Mail, co może prowadzić do przejęcia konta administratora. Problem ten występuje we wszystkich wersjach implementacji Lua Pony Mail, która została wycofana.

Insecure deserialization of untrusted input in StellarGroup HPX 1.11.0 under certain conditions may allow attackers to execute arbitrary code or other unspecified impacts.

CVE-2026-7321 is a vulnerability related to incorrect boundary conditions in the WebRTC networking component, leading to a sandbox escape.

Wykryto podatność w urządzeniu D-Link DI-8100 w wersji 16.07.26A1, która dotyczy funkcji tgfile_htm w pliku tgfile.htm komponentu CGI Endpoint. Manipulacja argumentem fn prowadzi do przepełnienia bufora, co może być wykorzystane zdalnie.

W urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521 odkryto lukę bezpieczeństwa. Problem dotyczy funkcji setWiFiEasyGuestCfg w pliku /cgi-bin/cstecgi.cgi, która umożliwia wstrzyknięcie poleceń systemowych poprzez manipulację argumentem merge.

Zidentyfikowano podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji setRadvdCfg w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem maxRtrAdvInterval prowadzi do wstrzyknięcia poleceń systemowych.

W Totolink A8000RU w wersji 7.1cu.643_b20200521 zidentyfikowano podatność w funkcji setOpenVpnClientCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem 'enabled' może prowadzić do wstrzyknięcia poleceń systemowych, co może być przeprowadzone zdalnie.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setWiFiBasicCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem wifiOff prowadzi do zdalnej iniekcji poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setVpnAccountCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem User prowadzi do wstrzyknięcia poleceń systemowych.

W Totolink A8000RU w wersji 7.1cu.643_b20200521 zidentyfikowano podatność, która dotyczy funkcji setPptpServerCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem enable prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setUrlFilterRules w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem enable prowadzi do wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU 7.1cu.643_b20200521, która dotyczy funkcji setWiFiWpsStart w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem wscDisabled prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Niektóre wersje oprogramowania układowego kamer Milesight AIOT wykorzystują certyfikaty SSL z domyślnymi kluczami prywatnymi. To może prowadzić do poważnych luk w bezpieczeństwie, umożliwiając nieautoryzowany dostęp do urządzeń.

Under certain circumstances, Spring Boot's default web security is ineffective, allowing unauthorized access to all endpoints. The vulnerability affects servlet-based web applications that have no custom Spring Security configuration, rely on the default security filter chain, depend on spring-boot-actuator-autoconfigure, and do not depend on spring-boot-health.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji CsteSystem w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem HTTP prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU 7.1cu.643_b20200521, która dotyczy funkcji setLoginPasswordCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem admpass prowadzi do wstrzyknięcia poleceń systemowych.