Katalog podatności CVE

Podatność cross-site scripting w interfejsie rejestracji QGIS QWC2 w wersji <=v2025.03.31 pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnego kodu JavaScript do strony.

Podatność cross-site scripting w tabeli atrybutów w QGIS QWC2 w wersji <2025.08.14 pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnego kodu JavaScript do strony.

Wtyczka WP Private Content Plus do wersji 3.6.2 włącznie zapewnia globalną ochronę treści wymagającą hasła, ale kontrola dostępu opiera się wyłącznie na obecności niezabezpieczonego cookie po stronie klienta. Nieuwierzytelniony atakujący może całkowicie ominąć ochronę hasłem, ręcznie ustawiając wartość cookie w przeglądarce.

SOOP-CLM opracowany przez PiExtract ma podatność Server-Side Request Forgery (SSRF), która pozwala uprzywilejowanym zdalnym atakującym na odczyt plików serwera lub badanie wewnętrznej sieci.

Uniweb/SoliPACS WebServer firmy EBM Technologies zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać dostęp do konkretnej strony i odczytać nazwy grup użytkowników.

Uniweb/SoliPACS WebServer firmy EBM Technologies zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać dostęp do konkretnej strony i odczytać informacje takie jak nazwy kont i adresy IP.

Podatność w code-projects Automated Voting System 1.0. Dotyczy nieznanej funkcji w pliku /admin/update_user.php, gdzie argument Password powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W code-projects Automated Voting System 1.0 wykryto podatność w nieznanej funkcji pliku /admin/add_candidate_modal.php. Manipulacja argumentem firstname prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Ericsson Network Manager w wersjach przed ENM 25.2 GA zawiera podatność, która w przypadku wykorzystania może pozwolić na eksfiltrację ograniczonych danych lub przekierowanie ofiar do innych witryn lub domen.

W Tenda RP3 Pro do wersji 22.5.7.93 znaleziono błąd. Dotyczy on nieznanej funkcji w pliku force_upgrade.sh komponentu Firmware Update Handler. Manipulacja argumentem current_force_upgrade_pwd może prowadzić do użycia zakodowanego na stałe hasła. Atak może być wykonany tylko lokalnie. Exploit został opublikowany i może być użyty.

Wykryto podatność w D-Link DAP-2695 2.00RC131. Dotyczy funkcji fwupdater_main w pliku rgbin w komponencie Firmware Update Handler. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Podatność dotyczy tylko produktów, które nie są już wspierane przez producenta.

W Campcodes Online Beauty Parlor Management System 1.0 wykryto podatność SQL injection w pliku /admin/search-appointment.php. Manipulacja argumentem searchdata prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka WordPress Plus Addons for Elementor w wersjach przed 6.3.16 nie sanityzuje zawartości plików SVG, co może pozwolić użytkownikom z minimalną rolą Author na przeprowadzenie ataków Stored Cross-Site Scripting.

W Campcodes Online Beauty Parlor Management System 1.0 wykryto podatność polegającą na manipulacji argumentem 'sername' w pliku /admin/manage-services.php, co prowadzi do wstrzyknięcia SQL (SQL Injection). Atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystany do ataków.

HCL Unica Platform jest dotknięty problemem niezabezpieczonych plików z powodu nieprawidłowych kontroli dostępu. Pliki te mogą zawierać wrażliwe informacje, takie jak dane prywatne lub systemowe, które mogą być wykorzystane przez atakujących do naruszenia aplikacji, infrastruktury lub użytkowników.

HCL Unica Campaign 12.1.10 jest podatna na Reflected Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt do żądania HTTP, który jest następnie niebezpiecznie odzwierciedlany w odpowiedzi serwera, co powoduje wykonanie skryptu w przeglądarce ofiary.

W Total.js Flow do wersji 673ef9144dd25d4f4fd4fdfda5af27f230198924 odkryto lukę bezpieczeństwa w komponencie SVG File Handler. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Produkt używa ciągłego dostarczania z wydaniami kroczącymi, więc nie są dostępne szczegóły wersji dotkniętych ani zaktualizowanych. Dostawca został poinformowany, ale nie odpowiedział.

W urządzeniach Tomofun Furbo 360 i Furbo Mini występuje podatność typu server-side request forgery w obsłudze pliku TF_FQDN.json w interfejsie GATT. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania.

Tomofun Furbo 360 i Furbo Mini zawierają podatność w komponencie GATT Service polegającą na niewłaściwej kontroli dostępu. Atak może być przeprowadzony wyłącznie z sieci lokalnej, a exploit jest publicznie dostępny.

Zidentyfikowano podatność w Tomofun Furbo 360 i Furbo Mini. Dotyczy nieznanej funkcji komponentu Registration Handler. Manipulacja prowadzi do odmowy usługi. Atak można wykonać bezpośrednio na urządzeniu fizycznym. Atak wymaga wysokiego poziomu złożoności, a wykorzystanie jest określane jako trudne. Dotyczy to wersji oprogramowania Furbo 360 do FB0035_FW_036 i Furbo Mini do MC0020_FW_074. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.