CVE Vulnerability Catalog

SyncBreeze w wersji 10.0.28 zawiera podatność typu denial of service w punkcie logowania, która pozwala zdalnym atakującym na awarię usługi. Atakujący mogą wysłać zbyt duży ładunek w żądaniu logowania, co może prowadzić do zakłócenia dostępności usługi.

Victor CMS w wersji 1.0 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym użytkownikom na przesyłanie złośliwych plików PHP za pomocą funkcji przesyłania zdjęć profilowych. Atakujący mogą przesłać powłokę PHP do katalogu /img i wykonywać polecenia systemowe, uzyskując dostęp do przesłanego pliku przez przeglądarkę internetową.

Cassandra Web w wersji 0.5.0 zawiera podatność na przejście katalogu, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików poprzez manipulację parametrami przejścia ścieżki. Atakujący mogą wykorzystać wyłączony moduł Rack::Protection do odczytu wrażliwych plików systemowych, takich jak /etc/passwd, oraz uzyskać dane uwierzytelniające do bazy danych Apache Cassandra.

WinAVR w wersji 20100110 zawiera podatność na niebezpieczne uprawnienia, która pozwala uwierzytelnionym użytkownikom na modyfikację plików systemowych i wykonywalnych. Atakujący mogą wykorzystać zbyt luźne kontrole dostępu do potencjalnej modyfikacji krytycznych plików DLL i wykonywalnych w katalogu instalacyjnym WinAVR.

Lokalny atakujący z niskimi uprawnieniami może obejść uwierzytelnianie interfejsu użytkownika Menedżera Urządzeń, co pozwala mu na wykonywanie operacji z uprawnieniami administratora.

Atakujący z niskimi uprawnieniami może zdalnie wykonać dowolny kod, wysyłając specjalnie przygotowane wywołania do usługi internetowej Menedżera Urządzeń lub lokalnie za pomocą API. Może to prowadzić do przepełnienia całkowitego, co skutkuje możliwością wykonania dowolnego kodu w procesach z wyższymi uprawnieniami.

W podatności CVE-2026-24828 występuje brak zwolnienia pamięci po efektywnym czasie życia w is-Engine, co może prowadzić do wycieków pamięci. Problem dotyczy wersji is-Engine przed 3.3.4.

Podatność typu 'Out-of-bounds Write' w Commander-Genius, która występuje przed wydaniem refs/pull/358/merge. Problem ten może prowadzić do nieautoryzowanego zapisu danych poza przydzielonym obszarem pamięci.

Wersja 1.17478.146 interfejsu administracyjnego EZCast Pro II zawiera podatność typu Cross-Site Request Forgery, która pozwala atakującym na ominięcie kontroli autoryzacji i uzyskanie pełnego dostępu do interfejsu administracyjnego.

Dell CloudBoost Virtual Appliance w wersjach przed 19.14.0.0 zawiera podatność na przechowywanie haseł w postaci niezaszyfrowanej. Atakujący z wysokimi uprawnieniami i zdalnym dostępem może wykorzystać tę podatność, co może prowadzić do podniesienia uprawnień.

UEVR before version 1.05 has an out-of-bounds write vulnerability in the lua/src modules, specifically in ldebug.C and lvm.C. This can lead to memory corruption and potential crashes.

SKRoot-linuxKernelRoot has a NULL pointer dereference vulnerability in the testRoot/jni/utils module, in cJSON.Cpp. This can lead to program crashes.

RawTherapee through version 5.11 has an integer overflow vulnerability in the rtengine module, in dcraw.Cc. This can lead to unexpected behavior or crashes.

EZCast Pro II version 1.17478.146 has multiple buffer overflows in the Admin UI, allowing attackers to cause program crashes and potential remote code execution.

The dashboard permissions API does not verify the target dashboard scope and only checks the dashboards.permissions:* action. As a result, a user with permission management rights on one dashboard can read and modify permissions on other dashboards, leading to an organization-internal privilege escalation.

The vulnerability in Grafana causes every uncached /avatar/:hash request to spawn a goroutine that refreshes the Gravatar image. If the refresh sits in the worker queue longer than three seconds, the handler times out and stops listening for the result, so the goroutine blocks forever trying to send on an unbuffered channel. Sustained traffic with random hashes keeps tripping this timeout, causing goroutine count to grow linearly, eventually exhausting memory and crashing Grafana on some systems.

anyRTC-RTMP-OpenSource before version 1.0 has an improper restriction of operations within the bounds of a memory buffer in the third_party/faad2-2.7/libfaad module, in bits.C and syntax.C. This can lead to crashes or security issues.

Beat-access dla systemu Windows w wersji 3.0.3 i wcześniejszych zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek. W rezultacie może zostać wykonany dowolny kod z uprawnieniami SYSTEM.

Podatność CVE-2026-1361 dotyczy przepełnienia bufora na stosie w oprogramowaniu ASDA-Soft. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.

MobSF to narzędzie do testowania bezpieczeństwa aplikacji mobilnych. W wersjach przed 4.4.5 występuje podatność typu Stored Cross-site Scripting (XSS) w analizie manifestu Androida, która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki ofiary poprzez przesłanie złośliwego pliku APK.