CVE Vulnerability Catalog
Translated CVE descriptions from NVD NIST - in English
Browse vulnerabilities by packageCISA KEV catalog updated: (v2026.09.16)
Weekly CVE digest
One email a week with newly published vulnerabilities worth knowing about. No account needed.
This digest covers new vulnerabilities in general, not your servers. If you want to know which of them actually run in your infrastructure, that is what Secvalis does: it scans your machines and reports only what concerns them.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych. Umożliwia to uwierzytelnionemu atakującemu zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego wejścia do pól SSID i/lub hasła Wi-Fi podczas przetwarzania konfiguracji.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzyknięcie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do parametrów narzędzia poleceń Modbus w trasie debugowania.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie. Atakujący może skonfigurować złośliwie przygotowany stan LCD, który jest przetwarzany podczas konfiguracji systemu.
Podatność w urządzeniach EFM-Networks, Inc. IpTIME T5008, AX2004M, AX3000Q oraz AX6000M umożliwia ominięcie uwierzytelnienia, co prowadzi do ujawnienia wrażliwych informacji osobom nieuprawnionym. Problem dotyczy wersji oprogramowania do 15.26.8.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzyknięcie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez dostarczenie odpowiednio przygotowanego pliku szablonu do trasy urządzenia.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie. Atakujący może to osiągnąć, wysyłając złośliwe dane do pola nazwy użytkownika serwera w akcji importu prekonfiguracji w trasie API V1.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzyknięcie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie. Atakujący może to osiągnąć, dostarczając złośliwe dane wejściowe podczas konfiguracji nazwy hosta urządzenia, które są później przetwarzane podczas konfiguracji systemu.
Zidentyfikowano podatność w urządzeniu Tenda F453 w wersji 1.0.0.3, która dotyczy funkcji formWrlsafeset w pliku /goform/AdvSetWrlsafeset komponentu httpd. Manipulacja argumentem mit_ssid_index prowadzi do przepełnienia bufora.
Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na łączenie wielu punktów końcowych przy użyciu tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.
Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.
Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez dostarczenie spreparowanego pliku aktualizacji oprogramowania układowego.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do żądań wysyłanych do trasy przywracania.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w polu urządzeń podczas uzyskiwania dostępu do trasy get setup.
W wersji 1.12.1 i wcześniejszych Copeland XWEB Pro występuje podatność, w której nieoczekiwany wynik zwracany przez procedurę uwierzytelniania jest później przetwarzany jako wartość prawidłowa, co prowadzi do ominięcia uwierzytelniania.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie. Atakujący może wstrzyknąć złośliwe dane do pól argumentów OpenSSL w żądaniach wysyłanych do trasy narzędzia.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w pole urządzeń podczas akcji zastosowania aktualizacji oprogramowania.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w żądania wysyłane do trasy aktualizacji oprogramowania.
Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.
W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do ciała żądania wysyłanego do trasy importu kontaktów.