CVE Vulnerability Catalog

A denial of service vulnerability in SpotAuditor 5.3.1.0 allows unauthenticated attackers to crash the application by submitting excessive data in the registration name field. Entering a string of 5000 bytes or more triggers an unhandled exception that crashes the application.

Part-DB 0.4 zawiera podatność na obejście uwierzytelniania, która pozwala nieautoryzowanym atakującym na zalogowanie się poprzez wstrzykiwanie składni SQL do parametrów uwierzytelniania. Atakujący mogą przesłać pojedynczy apostrof, a następnie 'or' w formularzu logowania, aby obejść walidację poświadczeń.

Wersja 1.32 aplikacji Blue-Smiley-Organizer autorstwa delpino73 zawiera podatność na wstrzykiwanie SQL w parametrze datetime, co pozwala nieautoryzowanym atakującym na manipulację zapytaniami do bazy danych. Atakujący mogą wstrzykiwać kod SQL za pomocą żądań POST, aby wydobywać wrażliwe dane lub zapisywać pliki na serwerze.

Chamilo LMS w wersji 1.11.8 zawiera podatność na nieautoryzowane przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na przesyłanie i wykonywanie plików PHP za pomocą modułu menedżera plików elfinder. Atakujący mogą przesyłać pliki z nagłówkami obrazów w sekcji 'moje pliki', zmieniać ich rozszerzenia na PHP i wykonywać dowolny kod, uzyskując dostęp do przesłanych plików.

A heap-based buffer overflow vulnerability in GIMP's ICO file parsing allows remote code execution. Exploitation requires user interaction, such as opening a malicious file or visiting a crafted webpage.

Podatność CVE-2026-0777 dotyczy niewystarczającego ostrzegania interfejsu użytkownika w Xmind przy otwieraniu załączników, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W podatności CVE-2026-2857 zidentyfikowano problem w urządzeniu D-Link DWR-M960 w wersji 1.01.07, dotyczący funkcji sub_423E00 w pliku /boafrm/formPortFw. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne wykorzystanie tej luki.

W urządzeniu D-Link DWR-M960 w wersji 1.01.07 zidentyfikowano podatność w funkcji sub_424AFC pliku /boafrm/formFilter, która dotyczy punktu końcowego konfiguracji filtra. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

Deno to środowisko uruchomieniowe dla JavaScript, TypeScript i WebAssembly. Przed wersją 2.6.8 istniała podatność na wstrzyknięcie poleceń w implementacji node:child_process, która została naprawiona w wersji 2.6.8.

openITCOCKPIT to narzędzie do monitorowania typu open source, które obsługuje różne silniki monitorujące, takie jak Nagios, Naemon i Prometheus. W wersji Community Edition 5.3.1 i wcześniejszych występuje niebezpieczny wzorzec deserializacji PHP w przetwarzaniu wpisów dziennika zmian, co może prowadzić do potencjalnej podatności na wstrzyknięcie obiektów PHP.

Wykryto podatność w urządzeniu D-Link DWR-M960 w wersji 1.01.07, dotycząca funkcji sub_4648F0 w pliku /boafrm/formDdns komponentu obsługi ustawień DDNS. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

W urządzeniu D-Link DWR-M960 w wersji 1.01.07 znaleziono lukę, która dotyczy funkcji sub_4611CC w pliku /boafrm/formNtp komponentu NTP Configuration Endpoint. Manipulacja argumentem submit-url może prowadzić do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.

Wykryto podatność w urządzeniu D-Link DWR-M960 w wersji 1.01.07, która dotyczy funkcji sub_462E14 w pliku /boafrm/formSysLog komponentu konfiguracji dziennika systemowego. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

A vulnerability in Vertex AI Experiments in Google Cloud Vertex AI (versions 1.21.0 up to but not including 1.133.0) stems from predictable Cloud Storage bucket naming. It allows an unauthenticated remote attacker to achieve cross-tenant remote code execution, model theft, and poisoning via Bucket Squatting.

Stored Cross-Site Scripting (XSS) in the _genai/_evals_visualization component of Google Cloud Vertex AI SDK (google-cloud-aiplatform) versions from 1.98.0 up to (but not including) 1.131.0 allows an unauthenticated remote attacker to execute arbitrary JavaScript in a victim's Jupyter or Colab environment via injecting script escape sequences into model evaluation results or dataset JSON data.

ADB Explorer to interfejs użytkownika dla ADB na systemie Windows. W wersjach 0.9.26020 i wcześniejszych występuje niezweryfikowany argument wiersza poleceń, który pozwala na rekurencyjne usuwanie dowolnych katalogów w systemie plików Windows.

openITCOCKPIT to narzędzie do monitorowania typu open source, które w wersjach 5.3.1 i poniżej zawiera niebezpieczną deserializację w implementacji pracownika Gearman. Funkcja pracownika, zarejestrowana jako oitc_gearman, wywołuje PHP's unserialize() na ładunkach zadań bez wymuszania ograniczeń klasowych lub weryfikacji pochodzenia danych.

W systemie SourceCodester Simple Responsive Tourism Website 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /classes/Master.php?f=register w komponencie rejestracji. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

A zip-slip path traversal vulnerability in Spring Data Geode's import snapshot functionality allows attackers to write files outside the intended extraction directory. This vulnerability appears to be susceptible on Windows OS only.

OpenSourcePOS w wersji 3.4.1 zawiera podatność typu Local File Inclusion (LFI) w funkcji Sales.php::getInvoice(). Atakujący może odczytać dowolne pliki na serwerze WWW, manipulując konfiguracją typu faktury.