CVE Vulnerability Catalog

Błąd w kontroli dostępu w komponencie /opt/SRLtzm/bin/TapeDumper urządzenia Cohesity TranZman Migration Appliance w wersji 4.0 Build 14614 umożliwia atakującym eskalację uprawnień do poziomu roota oraz odczyt i zapis dowolnych plików.

Podatność typu Cross-Site Request Forgery (CSRF) w Nokia IMPACT do wersji 19.11.2.10-20210118042150283 umożliwia zdalnemu atakującemu importowanie i nadpisywanie całej konfiguracji aplikacji. Problem występuje w punkcie końcowym /ui/rest-proxy/entity/import, gdzie nie jest weryfikowany nagłówek X-CSRF-NONCE ani ciasteczko CSRF-NONCE.

Komponent Aplikacji w Nokia IMPACT w wersjach do 19.11.2.10-20210118042150283 pozwala uwierzytelnionemu użytkownikowi na dowolne przesyłanie plików wykonywalnych na serwer poprzez parametr fileupload w /ui/rest-proxy/application. Może to mieć miejsce podczas dodawania nowej aplikacji lub edytowania istniejącej.

Nokia IMPACT w wersjach do 19.11.2.10-20210118042150283 umożliwia uwierzytelnionemu użytkownikowi przeprowadzenie ataku typu Time-based Boolean Blind SQL Injection na końcówce /ui/rest-proxy/campaign/statistic (strona Widok kampanii) za pomocą parametru sortColumn w żądaniu HTTP GET. Atakujący może uzyskać dostęp do wrażliwych danych z bazy danych, w tym informacji o użytkowniku bazy danych, nazwie bazy danych oraz wersji bazy danych.

W procesorach mobilnych Samsung Exynos 1280, 2200, 1380, 1480, 2400, 1580 i 2500 odkryto problem związany z dereferencją wskaźnika NULL w funkcji __pilot_parsing_ncp(). Może to prowadzić do awarii usługi.

Problem w komponencie WiseDelfile64.sys aplikacji WiseCleaner Wise Force Deleter w wersji 7.3.2 i wcześniejszych umożliwia atakującym usuwanie dowolnych plików za pomocą spreparowanego żądania.

W procesorze mobilnym Exynos 2200 firmy Samsung odkryto problem związany z brakiem sprawdzenia inicjalizacji pamięci w wiadomościach DL NAS Transport. Może to prowadzić do nieautoryzowanego dostępu do pamięci.

W procesorach mobilnych Samsung Exynos 1280, 2200, 1380, 1480 i 2400 odkryto problem związany z dereferencją wskaźnika NULL w funkcji load_fw_utc_vector(). To prowadzi do awarii usługi.

iBoysoft NTFS dla Mac zawiera podatność na lokalne podniesienie uprawnień w swoim uprzywilejowanym demonie ntfshelperd. Demon ten udostępnia usługę NSConnection, która działa jako root, nie implementując żadnych mechanizmów uwierzytelniania ani autoryzacji.

OpenViking versions 0.2.1 and prior, fixed in commit 46b3e76, contain a path traversal vulnerability in the .ovpack import handling. Attackers can craft malicious ZIP archives with traversal sequences, absolute paths, or drive prefixes to overwrite or create arbitrary files with the importing process privileges.

In Django 6.0 before 6.0.3, 5.2 before 5.2.12, and 4.2 before 4.2.29, the `URLField.to_python()` function calls `urllib.parse.urlsplit()`, which performs NFKC normalization on Windows. For certain Unicode characters, this normalization is disproportionately slow, allowing a remote attacker to cause a denial of service (DoS) by sending large URLs containing these characters.

W bibliotece libbiosig w wersji 3.9.2 oraz w gałęzi Master (db9a9a63) występuje podatność na przepełnienie bufora w stercie w funkcjonalności analizy plików .wft. Specjalnie przygotowany plik .wft może prowadzić do wykonania dowolnego kodu.

W skrypcie szc w repozytorium ccurtsinger/stabilizer występuje podatność na wstrzykiwanie poleceń, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń systemowych poprzez niesanitowane dane wejściowe przekazywane do os.system(). Problem wynika z niewłaściwego przetwarzania danych wejściowych, gdzie argumenty wiersza poleceń są bezpośrednio łączone w polecenia powłoki bez walidacji.

Podatność typu Out-of-bounds Write w systemie operacyjnym WatchGuard Fireware OS może umożliwić uwierzytelnionemu administratorowi z uprawnieniami wykonanie dowolnego kodu z uprawnieniami roota poprzez wystawiony interfejs zarządzania. Dotyczy to wersji Fireware OS od 11.9 do 11.12.4_Update1, 12.0 do 12.11.7 oraz 2025.1 do 2026.1.1.

Wtyczka WP Zendesk dla Contact Form 7, WPForms, Elementor, Formidable i Ninja Forms dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez dane z formularzy we wszystkich wersjach do i włącznie z 1.1.5 z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2026-1876 dotyczy modułu Ethernet FX5-ENET/IP serii MELSEC iQ-F firmy Mitsubishi Electric. Umożliwia zdalnemu atakującemu wywołanie stanu odmowy usługi (DoS) poprzez ciągłe wysyłanie pakietów UDP do urządzeń, co wymaga zresetowania systemu w celu przywrócenia działania.

W podatności CVE-2026-1875 w module FX5-EIP serii MELSEC iQ-F firmy Mitsubishi Electric występuje niewłaściwe zamykanie lub zwalnianie zasobów. Umożliwia to zdalnemu atakującemu wywołanie stanu odmowy usługi (DoS) poprzez ciągłe wysyłanie pakietów UDP do urządzeń, co wymaga zresetowania systemu w celu przywrócenia działania.

The Always-Incorrect Control Flow Implementation vulnerability in Mitsubishi Electric's FX5-ENET/IP and FX5-EIP Ethernet modules allows a remote attacker to cause a denial-of-service (DoS) condition by continuously sending UDP packets. Affected versions are FX5-ENET/IP 1.106 and prior, and FX5-EIP 1.000 and prior.

Podatność CVE-2025-15595 dotyczy eskalacji uprawnień poprzez hijacking DLL w Inno Setup w wersji 6.2.1 oraz wcześniejszych. Atakujący może wykorzystać tę lukę, aby uzyskać wyższe uprawnienia w systemie.

Wykryto podatność bezpieczeństwa w LLM-Claw w wersjach 0.1.0, 0.1.1, 0.1.1a oraz 0.1.1a-p1. Problem dotyczy funkcji agent_deploy_init w pliku /agents/deploy/initiate.c, co prowadzi do przepełnienia bufora.