CVE Vulnerability Catalog

Podatność CSRF w module Login Time Restriction dla Drupal umożliwia atak typu Cross-Site Request Forgery. Problem dotyczy wersji od 0.0.0 do przed 1.0.3.

OpenProject to oprogramowanie do zarządzania projektami, które w wersji 17.0 wprowadziło serwer synchronizacji do współpracy w czasie rzeczywistym. W wyniku niewłaściwej walidacji adresu URL backendu przez serwer synchronizacji, atakujący może uzyskać dostęp do tokena autoryzacyjnego, co pozwala na interakcję z OpenProject w imieniu ofiary.

Podatność w Drupal Commerce Paybox na wersjach 7.X umożliwia obejście uwierzytelnienia z powodu niewłaściwej weryfikacji podpisu kryptograficznego. Dotyczy to wersji od 7-x-1.0 do 7.X-1.5.

Discourse is an open source discussion platform. In versions prior to 3.5.4, 2025.11.2, 2025.12.1, and 2026.1.0, some subscription endpoints lack proper checking for ownership before making changes. This issue is patched in versions 3.5.4, 2025.11.2, 2025.12.1, and 2026.1.0.

Moduł FunJSQ, zintegrowany w niektórych routerach NETGEAR i systemach WiFi Orbi, nieprawidłowo weryfikuje certyfikaty TLS podczas pobierania pakietów aktualizacyjnych przez mechanizm automatycznych aktualizacji. Atakujący, odpowiednio umiejscowiony w sieci, może przechwycić żądanie aktualizacji i dostarczyć złośliwy pakiet aktualizacyjny, co może prowadzić do wykonania dowolnego kodu na podatnych urządzeniach.

FunJSQ, moduł zewnętrzny zintegrowany w niektórych routerach NETGEAR i systemach WiFi Orbi, udostępnia serwer HTTP przez interfejs LAN urządzeń. Interfejs ten jest podatny na nieautoryzowaną iniekcję dowolnych poleceń przez parametr funjsq_access_token.

A vulnerability in the flow.cuda.BoolTensor component of OneFlow v0.9.0 allows an attacker to cause a Denial of Service (DoS) via a crafted input.

A vulnerability in OneFlow v0.9.0 within the flow.cuda.get_device_capability() function fails to properly validate GPU device IDs. An attacker can exploit this by sending a crafted device ID, causing a Denial of Service (DoS).

A GPU device-ID validation flaw in OneFlow v0.9.0 allows attackers to trigger a Denial of Service (DoS) by invoking flow.cuda.get_device_properties() with an invalid or negative device index.

Wersje Explorance Blue przed 8.14.9 zawierają podatność na wstrzyknięcie SQL spowodowaną niewystarczającą walidacją danych wejściowych dostarczanych przez użytkowników w komponencie aplikacji webowej. Odpowiednio skonstruowane dane wejściowe mogą być wykonywane jako część zapytań do bazy danych.

Oprogramowanie NVIDIA vGPU zawiera podatność w Virtual GPU Manager, która pozwala złośliwemu gościowi na dostęp do pamięci sterty po jej zwolnieniu. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi lub ujawnienia informacji.

Sterownik wyświetlacza NVIDIA dla systemu Linux zawiera podatność w module jądra NVIDIA, która może prowadzić do przepełnienia lub owinięcia liczby całkowitej. Udane wykorzystanie tej podatności może skutkować wykonaniem kodu, eskalacją uprawnień, manipulacją danymi, odmową usługi lub ujawnieniem informacji.

Sterownik wyświetlacza GPU NVIDIA dla systemu Windows zawiera podatność w warstwie trybu jądra (nvlddmkm.sys), która umożliwia atakującemu spowodowanie przepełnienia liczby całkowitej. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi lub ujawnienia informacji.

Sterownik wyświetlacza NVIDIA dla systemu Windows zawiera podatność, która pozwala atakującemu na wywołanie sytuacji 'use after free'. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

SmartBlog w wersji 2.0.1 zawiera podatność na ślepą injekcję SQL w parametrze 'id_post' kontrolera szczegółów, co umożliwia atakującym wydobycie informacji z bazy danych. Atakujący mogą systematycznie testować i odzyskiwać zawartość bazy danych, wstrzykując odpowiednio skonstruowane zapytania SQL.

Nidesoft 3GP Video Converter w wersji 2.6.18 zawiera lokalną podatność na przepełnienie bufora stosu w parametrze rejestracji licencji. Atakujący mogą stworzyć złośliwy ładunek i wkleić go w pole 'Kod licencji', co pozwala na wykonanie dowolnego kodu na systemie.

PMB 5.6 zawiera podatność na ujawnienie lokalnych plików w pliku getgif.php, która pozwala atakującym na odczyt dowolnych plików systemowych poprzez manipulację parametrem 'chemin'. Atakujący mogą wykorzystać niesanitowane dane wejściowe ścieżki pliku do uzyskania dostępu do wrażliwych plików, takich jak /etc/passwd, wysyłając odpowiednio skonstruowane żądania do punktu końcowego getgif.php.

M/Monit w wersji 3.7.4 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym użytkownikom na modyfikację uprawnień innych użytkowników poprzez manipulację parametrem admin. Atakujący mogą wysłać żądanie POST do punktu końcowego /api/1/admin/users/update z odpowiednio przygotowanym ładunkiem, aby przyznać dostęp administracyjny zwykłemu kontu użytkownika.

docPrint Pro 8.0 zawiera lokalną podatność na przepełnienie bufora w polu wejściowym 'Add URL', co pozwala atakującym na wykonanie dowolnego kodu poprzez nadpisanie pamięci. Atakujący mogą stworzyć złośliwy ładunek, który wywołuje nadpisanie strukturalnego obsługiwacza wyjątków (SEH), aby wykonać shellcode i uzyskać zdalny dostęp do systemu.

Oprogramowanie układowe routera Intelbras RF 301K w wersji 1.1.2 zawiera lukę umożliwiającą ominięcie uwierzytelniania, co pozwala nieautoryzowanym atakującym na pobranie plików konfiguracyjnych routera. Atakujący mogą wysłać określone żądanie HTTP GET do /cgi-bin/DownloadCfg/RouterCfm.cfg, aby uzyskać wrażliwe informacje konfiguracyjne routera bez potrzeby uwierzytelnienia.