CVE Vulnerability Catalog

A vulnerability in vBulletin 3.8.7 allows a DoS attack via the misc.php?do=buddylist endpoint. An authenticated user with an excessively large buddy list can cause excessive memory consumption, exhausting system resources and crashing the forum.

W podatności CVE-2025-4411 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie PACS-ACSS firmy Dataprom Informatics, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji przed 16.05.2025.

Podatność CVE-2025-4296 w systemie HotelRunner B2B umożliwia przekierowanie URL do nieufnych witryn, co prowadzi do wymuszonego przeglądania. Problem ten dotyczy wersji przed 04.06.2025.

The JavaScript engine did not handle closed generators correctly and it was possible to resume them leading to a nullptr deref. Fixed in Firefox 141, Firefox ESR 115.26, 128.13, 140.1, and Thunderbird 141, 128.13, 140.1.

On 64-bit platforms IonMonkey-JIT only wrote 32 bits of the 64-bit return value space on the stack, while Baseline-JIT read the entire 64 bits. Fixed in Firefox 141, Firefox ESR 115.26, 128.13, 140.1, and Thunderbird 141, 128.13, 140.1.

Podatność CVE-2025-4295 dotyczy niewłaściwej walidacji certyfikatu z niezgodnością hosta w systemie HotelRunner B2B, co umożliwia przeprowadzenie ataku typu HTTP Response Splitting. Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4294 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HotelRunner B2B, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4284 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Agentis firmy Rolantis Information Technologies, co prowadzi do możliwości ataków typu Reflected XSS oraz DOM-Based XSS. Problem ten dotyczy wersji Agentis przed 4.32.

W podatności CVE-2025-2301 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Akbim do rejestracji na egzaminy online. Problem ten umożliwia wykorzystanie zaufanych identyfikatorów.

Podatność CVE-2025-5681 w oprogramowaniu Turtek Software Eyotek umożliwia obejście autoryzacji poprzez wykorzystanie kluczy kontrolowanych przez użytkownika. Problem ten dotyczy wersji Eyotek przed 23.06.2025.

W Mbed TLS w wersjach od 3.6.1 do 3.6.3 przed wersją 3.6.4 występuje niezgodność czasowa w usuwaniu paddingu szyfru blokowego, co pozwala atakującemu na odzyskanie tekstu jawnego, gdy używany jest tryb paddingu PKCS#7.

StudentManage v1.0 was found to contain a cross-site scripting (XSS) vulnerability in the Add A New Student module. This allows an attacker to inject malicious scripts into the page.

StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Course module. This allows an attacker to inject malicious scripts into the page.

MRCMS v3.1.2 was discovered to contain a cross-site scripting (XSS) vulnerability in the /admin/group/save.do component. An attacker can inject a malicious script that will be executed in the administrator's browser.

StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Teacher module. This allows an attacker to inject malicious scripts into the web page.

An SSRF vulnerability in the TunnelServlet component of Agorum core open v11.9.2 and v11.10.1 allows attackers to forcefully initiate connections to arbitrary internal and external resources via a crafted request. This can lead to sensitive data exposure.

An incorrect access control vulnerability in the dynawebservice component of Agorum core open versions 11.9.2 and 11.10.1 allows unauthenticated attackers to access arbitrary files on the system.

Incorrect access control in Agorum core open versions 11.9.2 and 11.10.1 allows authenticated attackers to escalate privileges to Administrator.

An XML External Entity (XXE) vulnerability was discovered in Agorum core open versions 11.9.2 and 11.10.1 in the RSSReader endpoint. It allows attackers to access sensitive data by providing a crafted XML input.

StudentManage v1.0 was discovered to contain a Cross-Site Request Forgery (CSRF) vulnerability. This allows an attacker to perform unauthorized actions on behalf of an authenticated user.