CVE Vulnerability Catalog

Stored Cross-Site Scripting (XSS) in the _genai/_evals_visualization component of Google Cloud Vertex AI SDK (google-cloud-aiplatform) versions from 1.98.0 up to (but not including) 1.131.0 allows an unauthenticated remote attacker to execute arbitrary JavaScript in a victim's Jupyter or Colab environment via injecting script escape sequences into model evaluation results or dataset JSON data.

ADB Explorer to interfejs użytkownika dla ADB na systemie Windows. W wersjach 0.9.26020 i wcześniejszych występuje niezweryfikowany argument wiersza poleceń, który pozwala na rekurencyjne usuwanie dowolnych katalogów w systemie plików Windows.

openITCOCKPIT to narzędzie do monitorowania typu open source, które w wersjach 5.3.1 i poniżej zawiera niebezpieczną deserializację w implementacji pracownika Gearman. Funkcja pracownika, zarejestrowana jako oitc_gearman, wywołuje PHP's unserialize() na ładunkach zadań bez wymuszania ograniczeń klasowych lub weryfikacji pochodzenia danych.

W systemie SourceCodester Simple Responsive Tourism Website 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /classes/Master.php?f=register w komponencie rejestracji. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

A zip-slip path traversal vulnerability in Spring Data Geode's import snapshot functionality allows attackers to write files outside the intended extraction directory. This vulnerability appears to be susceptible on Windows OS only.

OpenSourcePOS w wersji 3.4.1 zawiera podatność typu Local File Inclusion (LFI) w funkcji Sales.php::getInvoice(). Atakujący może odczytać dowolne pliki na serwerze WWW, manipulując konfiguracją typu faktury.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą parametrów selectgroup i gn na końcówce /?Function=Groups.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr funkcji.

W oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a występuje problem, który pozwala zdalnemu atakującemu na uzyskanie poufnych informacji za pomocą parametru zapytania sid.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

Router Wi-Fi jest podatny na ataki deautoryzacyjne z powodu braku ochrony ramek zarządzających, co pozwala na nadawanie sfałszowanych ramek deautoryzacji i rozłączenia bez autoryzacji lub szyfrowania. Atakujący może wykorzystać to do powodowania nieautoryzowanych zakłóceń oraz stworzenia warunków odmowy usługi.

Podstawowy PLC urządzenia może być zdalnie wpływany, bez odpowiednich zabezpieczeń lub uwierzytelnienia. To stwarza poważne zagrożenie dla integralności systemu.

Wbudowany interfejs webowy urządzenia nie obsługuje HTTPS/TLS do uwierzytelniania i wykorzystuje podstawowe uwierzytelnianie HTTP. Ruch jest kodowany, ale nie jest szyfrowany, co naraża dane uwierzytelniające użytkowników na pasywną intercepcję przez atakujących w tej samej sieci.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, dotycząca funkcji sub_44EFB4 w pliku /goform/formReleaseConnect w interfejsie zarządzania przez sieć. Manipulacja argumentem Isp_Name prowadzi do wstrzyknięcia poleceń systemowych.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, która dotyczy funkcji sub_44D264 w pliku /goform/formPdbUpConfig interfejsu zarządzania przez sieć. Manipulacja argumentem policyNames prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2026-27072 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce PixelYourSite. Problem ten dotyczy wersji od n/a do 11.2.0.1.

W podatności CVE-2026-24959 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w JoomSky JS Help Desk w wersjach od n/a do 3.0.1.

Podatność CVE-2026-24955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczkach Whizz. Umożliwia to atak typu Reflected XSS w wersjach wtyczek od n/a do 1.9.

Podatność CVE-2026-24950 dotyczy błędu w kontroli dostępu w wtyczce Authorsy, który pozwala na obejście autoryzacji poprzez wykorzystanie klucza kontrolowanego przez użytkownika. Problem ten występuje w wersjach od n/a do 1.0.6.