CVE Vulnerability Catalog

ChurchCRM to system zarządzania kościołem typu open-source. W wersjach przed 7.2.0, punkt końcowy usuwania rekordów rodzinnych (SelectDelete.php) umożliwia trwałe usunięcie rekordów rodzinnych oraz wszystkich powiązanych danych za pomocą zwykłego żądania GET bez walidacji tokenu CSRF.

ChurchCRM before version 7.2.0 has an SQL injection vulnerability in FinancialService::getMemberByScanString() due to unsanitized $routeAndAccount concatenated into raw SQL. This issue has been fixed in version 7.2.0.

ChurchCRM before version 7.2.0 has an object-level authorization vulnerability in the GET /api/person/{personId} endpoint. Any authenticated user with only EditSelf privileges can enumerate and read other members' records, exposing sensitive PII including names, addresses, phone numbers, and email addresses.

Movary to samodzielnie hostowana aplikacja webowa do śledzenia i oceniania filmów. Przed wersją 0.71.1, zwykły uwierzytelniony użytkownik mógł podnieść swoje uprawnienia do administratora, wysyłając `isAdmin=true` do `PUT /settings/users/{userId}` dla swojego identyfikatora użytkownika.

Movary (a self-hosted web app to track and rate watched movies) prior to version 0.71.1 allows an ordinary authenticated user to trigger server-side requests to arbitrary internal targets through POST /settings/jellyfin/server-url-verify. The endpoint accepts a user-controlled URL, appends /system/info/public, and sends a server-side HTTP request with Guzzle without restrictions on internal hosts, loopback addresses, or private network ranges. This enables SSRF and internal network probing, including host discovery, port-state probing, and service fingerprinting.

SP1 is a zero-knowledge virtual machine that proves the correct execution of programs compiled for the RISC-V architecture. In versions 6.0.0 through 6.0.2, a soundness vulnerability in the SP1 V6 recursive shard verifier allows a malicious prover to construct a recursive proof from a shard proof that the native verifier would reject.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 3.12.21 poprzez punkt końcowy REST API `/wp-json/wp/v2/eablocks/ea_appointments/`. Problem wynika z braku wymagań dotyczących uwierzytelnienia, co pozwala na dostęp do danych klientów bez autoryzacji.

Aplikacja monetr do budżetowania wydatków cyklicznych w wersjach 1.12.3 i poniżej ma problem z publicznym punktem końcowym webhooka Stripe, który buforuje cały body żądania w pamięci przed walidacją podpisu Stripe. Zdalny, nieautoryzowany atakujący może wysłać zbyt duże ładunki POST, co prowadzi do niekontrolowanego wzrostu pamięci i może spowodować odmowę usługi.

In versions 15.31.4 and below, the OverlappingFieldsCanBeMerged validation rule in graphql-go performs O(n²) pairwise comparisons of fields sharing the same response name. An attacker can send a query with thousands of repeated identical fields, causing excessive CPU usage during validation.

W wersjach 2.5 i poniżej, widok GymConfigUpdateView nie egzekwuje wymaganych uprawnień do zmiany konfiguracji siłowni, co pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację globalnej konfiguracji siłowni. Problem ten został naprawiony w wersji 2.5.

FastGPT to platforma do budowania agentów AI. W wersjach przed 4.14.9.5, punkt końcowy zmiany hasła jest podatny na atak typu NoSQL injection, co pozwala uwierzytelnionemu atakującemu na ominięcie weryfikacji 'starego hasła' poprzez wstrzykiwanie operatorów zapytań MongoDB.

DNN (wcześniej DotNetNuke) to otwartoźródłowa platforma zarządzania treścią w ekosystemie Microsoftu. Przed wersją 10.2.2 użytkownik mógł przesłać specjalnie przygotowany plik SVG, który mógł zawierać skrypty atakujące zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników DNN.

A command injection vulnerability was found in radare2 prior to commit bc5a890 in the afsv/afsvj command path. Malicious ELF binaries can embed r2 command sequences as DWARF DW_TAG_formal_parameter names, which execute when the binary is analyzed with aaa and afsvj, allowing arbitrary shell command execution through unsanitized parameter interpolation in the pfq command string.

Zrok to oprogramowanie do udostępniania usług internetowych, plików i zasobów sieciowych. W wersjach przed 2.0.1 funkcja endpoints.GetSessionCookie nieprawidłowo przetwarza liczbę fragmentów ciasteczek dostarczoną przez atakującego, co może prowadzić do nieograniczonego przydzielania pamięci na stercie i zakończenia procesu z powodu braku pamięci.

WeGIA to menedżer internetowy dla instytucji charytatywnych. W wersjach przed 3.6.10 zidentyfikowano podatność typu Stored Cross-Site Scripting (XSS) w funkcji 'Rejestracja członka'. Wstrzyknięcie ładunku do pola 'Nazwa członka' powoduje jego trwałe zapisanie w bazie danych.

WeGIA to menedżer internetowy dla instytucji charytatywnych. Wersje przed 3.6.10 zawierają podatność na wstrzykiwanie SQL w pliku dao/memorando/UsuarioDAO.php, gdzie parametr POST cpf_usuario nadpisuje tożsamość użytkownika przechowywaną w sesji, co pozwala atakującemu na wykonanie zapytań do bazy danych jako dowolny użytkownik.

HomeBox to system do zarządzania inwentarzem domowym. W wersjach przed 0.25.0 występowała podatność, w której identyfikator defaultGroup pozostawał na stałe przypisany do użytkownika po zaproszeniu do grupy, nawet po odebraniu mu dostępu do tej grupy.

Claude Code to narzędzie do kodowania, które w wersjach przed 2.1.75 na systemie Windows ładowało domyślną konfigurację systemową z pliku C:\ProgramData\ClaudeCode\managed-settings.json bez weryfikacji właściciela katalogu lub uprawnień dostępu. Użytkownik lokalny z niskimi uprawnieniami mógł stworzyć ten katalog i umieścić złośliwy plik konfiguracyjny, który byłby automatycznie ładowany dla każdego użytkownika uruchamiającego Claude Code na tej samej maszynie.

xrdp to otwartoźródłowy serwer RDP. W wersjach do 0.10.5 występuje przepełnienie bufora w stercie w implementacji EGFX z powodu niewystarczającej walidacji parametrów rozmiaru kontrolowanych przez klienta, co pozwala na zapis poza przydzielonym obszarem pamięci. Wykorzystanie tej podatności przed uwierzytelnieniem może spowodować awarię procesu, natomiast po uwierzytelnieniu może prowadzić do zdalnego wykonania kodu.

Anviz CX2 Lite and CX7 are vulnerable to unauthenticated POST requests that can modify debug settings, such as enabling SSH.