CVE Vulnerability Catalog

Elaniin CMS w wersji 1.0 zawiera podatność na obejście uwierzytelniania, która pozwala atakującym na dostęp do panelu sterowania poprzez manipulację stroną logowania za pomocą SQL injection. Atakujący mogą obejść uwierzytelnianie, wysyłając spreparowane parametry e-mail i hasło z ładunkiem '=''or' do login.php, co umożliwia nieautoryzowany dostęp do systemu.

Mocha Telnet Lite dla iOS w wersji 4.2 zawiera podatność na odmowę usługi, która pozwala atakującym na zablokowanie aplikacji poprzez manipulację danymi konfiguracyjnymi użytkownika. Atakujący mogą nadpisać pole 'User' 350 bajtami powtarzających się znaków, co prowadzi do awarii aplikacji.

W konfiguracji nginx w Open Security Issue Management (OSIM) przed wersją 2025.9.0 występuje problem z konkatenacją $uri$args, co umożliwia ataki typu path traversal za pomocą parametrów zapytania.

Podatność związana z niewłaściwą kontrolą dostępu w oprogramowaniu QR Menu firmy Akın Software pozwala na nadużycie uwierzytelnienia. Problem dotyczy wersji przed s1.05.12.

Wtyczka Custom Login Page Customizer dla WordPressa w wersjach przed 2.5.4 nie posiada odpowiedniego procesu resetowania hasła, co pozwala na kilka nieautoryzowanych żądań do zresetowania hasła dowolnego użytkownika, znając jego nazwę użytkownika, w tym administratorów, co umożliwia dostęp do ich konta.

Zidentyfikowano słabość w systemie zarządzania szkołą itsourcecode w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /course/index.php, gdzie manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL.

iccDEV to zestaw bibliotek i narzędzi do interakcji oraz manipulacji profilami zarządzania kolorami ICC. W wersjach przed 2.3.1.2 występuje problem z nieokreślonym zachowaniem podczas konwersji wartości NaN typu float na typy całkowite unsigned short, co może prowadzić do uszkodzenia struktur pamięci i umożliwić wykonanie dowolnego kodu.

Podman Desktop to graficzne narzędzie do pracy z kontenerami i Kubernetes. W wersjach przed 1.25.1 występuje krytyczna podatność na obejście uwierzytelniania, która pozwala dowolnym rozszerzeniom na całkowite zignorowanie kontroli uprawnień i uzyskanie nieautoryzowanego dostępu do wszystkich sesji uwierzytelniających.

In Discourse versions prior to 3.5.4, 2025.11.2, 2025.12.1, and 2026.1.0, permalinks pointing to access-restricted resources (private topics, categories, posts, or hidden tags) were redirecting users to URLs containing the resource slug, even when the user didn't have access to view the resource. This leaked potentially sensitive information (e.g., private topic titles) via the redirect Location header and the 404 page's search box.

Wykryto podatność bezpieczeństwa w projekcie Online Music Site w wersji 1.0, która dotyczy nieznanej funkcji pliku /Administrator/PHP/AdminReply.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano słabość w projekcie Online Music Site w wersji 1.0, która dotyczy nieznanej funkcji w pliku /Administrator/PHP/AdminEditUser.php. Manipulacja argumentem ID prowadzi do podatności na atak typu SQL injection.

W komponentach oneflow.index_add w OneFlow w wersji 0.9.0 występuje podatność na niewłaściwą walidację danych wejściowych, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez spreparowane dane wejściowe.

W składniku flow.arange() w OneFlow w wersji 0.9.0 występuje podatność na niewłaściwą walidację danych wejściowych, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez spreparowane dane wejściowe.

Discourse, an open source discussion platform, contains a vulnerability in versions prior to 3.5.4, 2025.11.2, 2025.12.1, and 2026.1.0. The issue involves hostname validation in the FinalDestination component, which could allow bypassing SSRF protections under certain conditions.

Pobieranie i budowanie modułów z złośliwymi ciągami wersji może prowadzić do lokalnego wykonania kodu. Na systemach z zainstalowanym Mercurial (hg) oraz Git, złośliwe ciągi wersji mogą umożliwić atakującemu zapis do dowolnych plików w systemie plików.

A vulnerability in the cmd/go tool allows writing to an attacker-controlled file with partial control of the file content. The "#cgo pkg-config:" directive in a Go source file provides command-line arguments to the pkg-config command. An attacker can supply a "--log-file" argument to this directive, causing pkg-config to write to an attacker-controlled location.

The net/url package does not limit the number of query parameters. The net/http.Request.ParseForm method can parse large URL-encoded forms, causing excessive memory consumption with many unique parameters.

Sterownik panelu Dell PremierColor w wersjach przed 1.0.0.1 A01 zawiera podatność na niewłaściwą kontrolę dostępu. Atakujący z niskimi uprawnieniami, mający lokalny dostęp, może wykorzystać tę podatność do podniesienia swoich uprawnień.

W podatności CVE-2025-14840 w menedżerze klienta HTTP Drupal występuje niewłaściwe sprawdzanie nietypowych lub wyjątkowych warunków, co umożliwia wymuszone przeglądanie. Problem dotyczy wersji menedżera klienta HTTP: od 0.0.0 przed 9.3.13, od 10.0.0 przed 10.0.2 oraz od 11.0.0 przed 11.0.1.

W Drupal Acquia Content Hub występuje podatność typu Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji Acquia Content Hub od 0.0.0 do przed 3.6.4 oraz od 3.7.0 do przed 3.7.3.