Katalog podatności CVE

Atakujący, który uzyska dostęp SSH do nieuprzywilejowanego konta, może zakłócić działanie usług, w tym SSH, powodując trwałą utratę dostępności.

W abhicodebox ModernShop 20250922 wykryto lukę w nieznanym przetwarzaniu pliku /search. Manipulacja argumentem q prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie Central Authentication Service firmy Zytec Dalian Zhuoyun Technology do wersji 20251009 wykryto podatność w funkcji _empty pliku /index.php/auth/widget. Manipulacja argumentami get.layer/get.widget/get.action prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie Online Event Judging System 1.0 od code-projects wykryto podatność SQL injection w pliku /edit_judge.php. Manipulacja argumentem judge_id może prowadzić do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.

W systemie Online Event Judging System 1.0 od code-projects wykryto podatność SQL injection w pliku /edit_criteria.php. Manipulacja argumentem crit_id może prowadzić do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.

Podatność typu Denial of Service (DoS) w produkcie ZTE MC889A Pro. Z powodu niewystarczającej walidacji parametrów wejściowych interfejsu usługi krótkich wiadomości (SMS), atakujący może wykorzystać tę lukę do przeprowadzenia ataku DoS.

W systemie CodeAstro Gym Management System 1.0 wykryto podatność SQL injection w pliku /admin/actions/remove-announcement.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany.

W systemie Online Event Judging System 1.0 firmy code-projects występuje podatność na wstrzyknięcie SQL w pliku /edit_contestant.php poprzez manipulację argumentem contestant_id. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_contestant.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_judge.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /ajax/action.php. Manipulacja argumentem content prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W OpenWGA 7.11.12 Build 737 wykryto podatność w nieznanej funkcji pliku WGA.File komponentu TMLScript API. Manipulacja może prowadzić do path traversal. Atak można przeprowadzić zdalnie. Exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.

Na urządzeniach z Wear OS, gdy Google Messages jest domyślną aplikacją SMS/MMS/RCS, obsługa intencji ACTION_SENDTO z schematami URI sms:, smsto:, mms:, mmsto: jest nieprawidłowo zaimplementowana. Atakujący mogący wywołać intencję Androida może wysyłać wiadomości w imieniu użytkownika bez interakcji i uprawnień.

W Axosoft Scrum and Bug Tracking 22.1.1.11545 wykryto podatność. Dotyczy nieznanej funkcji komponentu Edit Ticket Page. Manipulacja argumentem Title prowadzi do wstrzyknięcia CSV. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być użyty. Dostawca został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W aplikacji Chatwoot do wersji 4.7.0 wykryto podatność typu cross-site scripting (XSS) w komponencie interfejsu administracyjnego, w pliku app/javascript/shared/components/IframeLoader.vue. Manipulacja argumentem Link prowadzi do wykonania złośliwego skryptu, a atak można przeprowadzić zdalnie.

W Chatwoot do wersji 4.7.0 zidentyfikowano podatność w funkcji initPostMessageCommunication w pliku app/javascript/sdk/IFrameHelper.js komponentu Widget. Manipulacja argumentem baseUrl prowadzi do błędu walidacji origin. Producent został powiadomiony, ale nie odpowiedział.

W systemie Simple E-Banking System 1.0 wykryto podatność typu cross-site scripting (XSS) w pliku /eBank/register.php. Manipulacja argumentem Username pozwala na wstrzyknięcie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W systemie code-projects Client Details System 1.0 znaleziono podatność w pliku clientdetails/welcome.php, w komponencie GET Parameter Handler. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.

W systemie Gym Management System 1.0 firmy CodeAstro wykryto podatność SQL injection w pliku /admin/actions/check-attendance.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie Automated Voting System 1.0 od code-projects wykryto podatność SQL injection w pliku /admin/user.php. Manipulacja argumentem Username może prowadzić do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony.