CVE Vulnerability Catalog

Vulnerability in the AWT and JavaFX component of Oracle Java SE, Oracle GraalVM for JDK, and Oracle GraalVM Enterprise Edition. An unauthenticated attacker with network access can exploit this flaw via multiple protocols, requiring user interaction. Successful attacks can result in unauthorized creation, deletion, or modification of critical data.

Vulnerability in Oracle Siebel CRM Deployment product (component: Server Infrastructure) affects versions 17.0-25.2. An unauthenticated attacker with network access via TLS can easily compromise the system, causing a hang or frequently repeatable crash (complete DoS).

Podatność CVE-2025-58744 dotyczy użycia domyślnych oraz wbudowanych poświadczeń w pliku C2SGlobalSettings.dll w aplikacji Milner ImageDirector Capture na systemie Windows. Umożliwia to odszyfrowanie plików archiwum dokumentów przy użyciu poświadczeń odszyfrowanych za pomocą wbudowanego klucza szyfrowania aplikacji.

Podatność CVE-2025-58743 dotyczy użycia słabego algorytmu kryptograficznego (DES) w klasie Password w bibliotece C2SConnections.dll w Milner ImageDirector Capture na systemie Windows. Umożliwia to przeprowadzenie ataku brute force w celu uzyskania danych uwierzytelniających do bazy danych.

Podatność CVE-2025-58741 dotyczy niewystarczająco chronionych poświadczeń w polu poświadczeń Milner ImageDirector Capture, co umożliwia dostęp do materiałów poświadczeniowych oraz bazy danych. Problem ten dotyczy wersji ImageDirector Capture od 7.0.9 do 7.6.3.25808.

A vulnerability in Node.js TLS error handling allows remote attackers to crash or exhaust resources of a TLS server when `pskCallback` or `ALPNCallback` are in use. Synchronous exceptions thrown during these callbacks bypass standard TLS error handling paths, leading to immediate process termination or silent file descriptor leaks that eventually cause denial of service.

An input validation issue in Pithikos websocket-server v0.6.4 allows a remote attacker to obtain sensitive information or cause unexpected server behavior via the WebSocketServer._message_received component.

A buffer over-read vulnerability in the PublicKey::verify() method of Binance Trust Wallet Core before commit 5668c67 allows attackers to cause a Denial of Service (DoS) via crafted input.

W funkcji dacp_reply_playqueueedit_move w owntone-server występuje dereferencja wskaźnika NULL, co pozwala atakującym na spowodowanie awarii usługi (DoS) poprzez wysłanie odpowiednio skonstruowanego żądania DACP do serwera.

W funkcji parse_meta (src/httpd_daap.c) w serwerze owntone-server występuje dereferencja wskaźnika NULL, co pozwala atakującym na spowodowanie awarii usługi (DoS) poprzez wysłanie spreparowanego żądania DAAP do serwera.

A bug has been identified in Node.js error handling where 'Maximum call stack size exceeded' errors become uncatchable when `async_hooks.createHook()` is enabled. Instead of reaching `process.on('uncaughtException')`, the process terminates, making the crash unrecoverable. Applications relying on `AsyncLocalStorage` (v22, v20) or `async_hooks.createHook()` (v24, v22, v20) become vulnerable to denial-of-service crashes triggered by deep recursion under specific conditions.

A malformed HTTP/2 HEADERS frame with oversized, invalid HPACK data can cause Node.js to crash by triggering an unhandled TLSSocket error ECONNRESET. Instead of safely closing the connection, the process crashes, enabling a remote denial of service.

A memory leak in Node.js's OpenSSL integration occurs when converting X.509 certificate fields to UTF-8 without freeing the allocated buffer. Applications calling socket.getPeerCertificate(true) leak memory per certificate field, allowing remote clients to trigger steady memory growth through repeated TLS connections.

W funkcji dacp_reply_playqueueedit_clear w pliku src/httpd_dacp.c w owntone-server występuje dereferencja wskaźnika NULL, co pozwala zdalnym atakującym na spowodowanie awarii usługi (Denial of Service). Problem ten występuje od commit 6d604a1, który jest nowszy niż wersja 28.12.

W funkcji daap_reply_groups w pliku src/httpd_daap.c w serwerze owntone występuje dereferencja wskaźnika NULL, co pozwala zdalnym atakującym na spowodowanie awarii usługi. Problem ten występuje od wersji 28.2 po commit 5e6f19a.

A flaw in Node.js's buffer allocation logic can expose uninitialized memory when allocations are interrupted, when using the `vm` module with the timeout option. Under specific timing conditions, buffers allocated with `Buffer.alloc` and other `TypedArray` instances like `Uint8Array` may contain leftover data from previous operations, allowing in-process secrets like tokens or passwords to leak or causing data corruption.

NVIDIA Merlin Transformers4Rec dla wszystkich platform zawiera podatność, która umożliwia atakującemu wstrzyknięcie kodu. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Nsight Systems dla systemu Linux zawiera podatność w instalatorze .run, która pozwala atakującemu na wstrzyknięcie polecenia systemowego poprzez dostarczenie złośliwego ciągu do ścieżki instalacji. Skuteczne wykorzystanie tej podatności może prowadzić do eskalacji uprawnień, wykonania kodu, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

NVIDIA Nsight Visual Studio dla systemu Windows zawiera podatność w Nsight Monitor, która pozwala atakującemu na wykonanie dowolnego kodu z tymi samymi uprawnieniami, co aplikacja NVIDIA Nsight Visual Studio Edition Monitor. Udany atak może prowadzić do eskalacji uprawnień, wykonania kodu, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

NVIDIA Nsight Systems zawiera podatność w przepisie gfx_hotspot, która pozwala atakującemu na wstrzyknięcie polecenia systemowego poprzez dostarczenie złośliwego ciągu do skryptu process_nsys_rep_cli.py, jeśli skrypt jest wywoływany ręcznie. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.