CVE Vulnerability Catalog

Wtyczka Ninja Forms dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.14.0 włącznie. Problem wynika z niebezpiecznego zastosowania filtra `ninja_forms_merge_tags` na danych dostarczonych przez użytkownika w polach powtarzalnych, co pozwala na rozwiązywanie tagów `{post_meta:KEY}` bez sprawdzania uprawnień.

Zidentyfikowano podatność w SINEC NMS (wszystkie wersje < V4.0 SP3) oraz w komponencie zarządzania użytkownikami (UMC) (wszystkie wersje < V2.15.2.1). Aplikacja pozwala na niewłaściwą modyfikację pliku konfiguracyjnego przez użytkownika o niskich uprawnieniach.

Zidentyfikowano podatność w SINEC NMS (wszystkie wersje < V4.0 SP2), która pozwala na nieprawidłową modyfikację pliku konfiguracyjnego przez użytkownika o niskich uprawnieniach. Może to umożliwić atakującemu załadowanie złośliwych bibliotek DLL, co potencjalnie prowadzi do wykonania dowolnego kodu z uprawnieniami administratora.

W podatności CVE-2026-24343 występuje niewłaściwa neutralizacja danych w wyrażeniach XPath, co prowadzi do ataku typu 'XPath Injection' w Apache HertzBeat. Problem dotyczy wersji od 1.7.1 do przed 1.8.0.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacje te zawierają podatność na odczyt poza zakresem podczas analizowania specjalnie przygotowanych plików NDB.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacja jest podatna na przepełnienie bufora w stercie podczas analizy specjalnie przygotowanych plików NDB.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacje te zawierają podatność na odczyt poza zakresem podczas analizowania specjalnie przygotowanych plików NDB.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacje te zawierają podatność na odczyt poza zakresem podczas analizowania specjalnie przygotowanych plików XDB.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacje te zawierają podatność na odczyt poza zakresem podczas analizowania specjalnie przygotowanych plików XDB.

Zidentyfikowano podatność w Simcenter Femap (wszystkie wersje < V2512) oraz Simcenter Nastran (wszystkie wersje < V2512). Aplikacje te zawierają lukę typu out of bounds write podczas analizy specjalnie przygotowanych plików XDB, co może umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.

Zidentyfikowano podatność w NX (wszystkie wersje < V2512), NX (Tryb Zarządzany) (wszystkie wersje < V2512). Aplikacja zawiera lukę w walidacji danych, która może pozwolić atakującemu z lokalnym dostępem na ingerencję w dane wewnętrzne podczas procesu eksportu PDF, co może prowadzić do wykonania dowolnego kodu.

Wtyczka Name Directory dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez podwójne kodowanie encji HTML we wszystkich wersjach do i włącznie z 1.32.0. Problem wynika z niewłaściwego przetwarzania danych wejściowych, co umożliwia atakującym wstrzykiwanie dowolnych skryptów webowych.

Zidentyfikowano podatność w Polarion V2404 (wszystkie wersje < V2404.5) oraz Polarion V2410 (wszystkie wersje < V2410.2). Aplikacja pozwala na włączenie dowolnego kodu JavaScript w tytułach dokumentów, co może umożliwić uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu stored cross-site scripting.

Agentflow opracowany przez Flowring ma podatność na arbitralne przesyłanie plików, co pozwala uwierzytelnionym zdalnym atakującym na przesyłanie i uruchamianie backdoorów w postaci powłok webowych, co umożliwia wykonanie dowolnego kodu na serwerze.

Docpedia opracowana przez Flowring zawiera podatność na wstrzykiwanie SQL, która umożliwia uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.

Docpedia opracowana przez Flowring ma podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym zdalnym atakującym na wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

AXIS Camera Station Pro zawierał lukę, która umożliwiała atak eskalacji uprawnień na serwerze przez użytkownika niebędącego administratorem.

API VAPIX mediaclip.cgi nie miało wystarczającej walidacji wejścia, co umożliwia potencjalne zdalne wykonanie kodu. Wykorzystanie tej luki jest możliwe tylko po uwierzytelnieniu się za pomocą konta serwisowego z uprawnieniami operatora lub administratora.

Wykryto podatność w D-Link DCS-931L do wersji 1.13.0, która dotyczy nieznanej części pliku /goform/setSysAdmin. Manipulacja argumentem AdminID prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wtyczka SAP Solution Tools (ST-PI) zawiera moduł funkcji, który nie przeprowadza niezbędnych kontroli autoryzacji dla uwierzytelnionych użytkowników, co pozwala na ujawnienie wrażliwych informacji. Ta podatność ma wysoki wpływ na poufność, nie wpływając na integralność ani dostępność.