CVE Vulnerability Catalog

Podatność CVE-2026-2036 w GFI Archiver pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Mimo że do wykorzystania tej podatności wymagana jest autoryzacja, istniejące mechanizmy autoryzacji mogą zostać obejście.

Podatność w Sante DICOM Viewer Pro związana z przepełnieniem bufora podczas analizy plików DCM umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

A directory traversal vulnerability in MLflow Tracking Server allows remote code execution via improper validation of artifact file paths. The flaw enables unauthenticated attackers to execute arbitrary code in the context of the service account.

phpMoAdmin w wersji 1.1.5 zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym wykonywanie nieautoryzowanych operacji na bazie danych poprzez tworzenie złośliwych żądań. Atakujący mogą nakłonić uwierzytelnionych użytkowników do wysyłania żądań GET do pliku moadmin.php z parametrami takimi jak action, db i collection, co pozwala na tworzenie, usuwanie lub naprawianie baz danych i kolekcji bez zgody użytkownika.

LabCollector w wersji 5.423 zawiera wiele podatności na wstrzykiwanie SQL, które umożliwiają nieautoryzowanym atakującym wykonywanie dowolnych poleceń SQL poprzez wstrzykiwanie złośliwego kodu przez parametry POST. Atakujący mogą przesyłać spreparowane ładunki SQL w parametrze login w pliku login.php lub w parametrze user_name w pliku retrieve_password.php, aby wydobyć wrażliwe informacje z bazy danych bez potrzeby uwierzytelnienia.

Sricam DeviceViewer w wersji 3.12.0.1 zawiera lokalną podatność na przepełnienie bufora w funkcji dodawania użytkownika w zarządzaniu użytkownikami. Umożliwia to uwierzytelnionym atakującym wykonanie dowolnego kodu poprzez obejście ochrony przed wykonaniem danych.

A denial of service vulnerability in SpotAuditor 5.3.1.0 allows unauthenticated attackers to crash the application by submitting excessive data in the registration name field. Entering a string of 5000 bytes or more triggers an unhandled exception that crashes the application.

Part-DB 0.4 zawiera podatność na obejście uwierzytelniania, która pozwala nieautoryzowanym atakującym na zalogowanie się poprzez wstrzykiwanie składni SQL do parametrów uwierzytelniania. Atakujący mogą przesłać pojedynczy apostrof, a następnie 'or' w formularzu logowania, aby obejść walidację poświadczeń.

Wersja 1.32 aplikacji Blue-Smiley-Organizer autorstwa delpino73 zawiera podatność na wstrzykiwanie SQL w parametrze datetime, co pozwala nieautoryzowanym atakującym na manipulację zapytaniami do bazy danych. Atakujący mogą wstrzykiwać kod SQL za pomocą żądań POST, aby wydobywać wrażliwe dane lub zapisywać pliki na serwerze.

Chamilo LMS w wersji 1.11.8 zawiera podatność na nieautoryzowane przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na przesyłanie i wykonywanie plików PHP za pomocą modułu menedżera plików elfinder. Atakujący mogą przesyłać pliki z nagłówkami obrazów w sekcji 'moje pliki', zmieniać ich rozszerzenia na PHP i wykonywać dowolny kod, uzyskując dostęp do przesłanych plików.

A heap-based buffer overflow vulnerability in GIMP's ICO file parsing allows remote code execution. Exploitation requires user interaction, such as opening a malicious file or visiting a crafted webpage.

Podatność CVE-2026-0777 dotyczy niewystarczającego ostrzegania interfejsu użytkownika w Xmind przy otwieraniu załączników, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W podatności CVE-2026-2857 zidentyfikowano problem w urządzeniu D-Link DWR-M960 w wersji 1.01.07, dotyczący funkcji sub_423E00 w pliku /boafrm/formPortFw. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne wykorzystanie tej luki.

W urządzeniu D-Link DWR-M960 w wersji 1.01.07 zidentyfikowano podatność w funkcji sub_424AFC pliku /boafrm/formFilter, która dotyczy punktu końcowego konfiguracji filtra. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

Deno to środowisko uruchomieniowe dla JavaScript, TypeScript i WebAssembly. Przed wersją 2.6.8 istniała podatność na wstrzyknięcie poleceń w implementacji node:child_process, która została naprawiona w wersji 2.6.8.

openITCOCKPIT to narzędzie do monitorowania typu open source, które obsługuje różne silniki monitorujące, takie jak Nagios, Naemon i Prometheus. W wersji Community Edition 5.3.1 i wcześniejszych występuje niebezpieczny wzorzec deserializacji PHP w przetwarzaniu wpisów dziennika zmian, co może prowadzić do potencjalnej podatności na wstrzyknięcie obiektów PHP.

Wykryto podatność w urządzeniu D-Link DWR-M960 w wersji 1.01.07, dotycząca funkcji sub_4648F0 w pliku /boafrm/formDdns komponentu obsługi ustawień DDNS. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

W urządzeniu D-Link DWR-M960 w wersji 1.01.07 znaleziono lukę, która dotyczy funkcji sub_4611CC w pliku /boafrm/formNtp komponentu NTP Configuration Endpoint. Manipulacja argumentem submit-url może prowadzić do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.

Wykryto podatność w urządzeniu D-Link DWR-M960 w wersji 1.01.07, która dotyczy funkcji sub_462E14 w pliku /boafrm/formSysLog komponentu konfiguracji dziennika systemowego. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora na stosie.

A vulnerability in Vertex AI Experiments in Google Cloud Vertex AI (versions 1.21.0 up to but not including 1.133.0) stems from predictable Cloud Storage bucket naming. It allows an unauthenticated remote attacker to achieve cross-tenant remote code execution, model theft, and poisoning via Bucket Squatting.