CVE Vulnerability Catalog

Niebezpieczne przechowywanie wrażliwych informacji w usłudze kryptograficznej systemu Windows umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

Insufficient UI warnings of dangerous operations in Windows Remote Desktop allow an unauthorized attacker to perform spoofing over a network.

Nieprawidłowa walidacja danych wejściowych w Microsoft PowerShell umożliwia nieautoryzowanemu atakującemu lokalne obejście funkcji zabezpieczeń.

W Applocker Filter Driver (applockerfltr.sys) występuje problem z równoległym wykonywaniem przy użyciu wspólnego zasobu z niewłaściwą synchronizacją, co prowadzi do warunku wyścigu. Umożliwia to autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

A vulnerability in .NET Framework due to improper input validation allows an unauthorized attacker to cause a denial of service (DoS) over a network.

W Microsoft Office Word występuje podatność typu use after free, która pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.

W usługach zarządzania systemem Windows występuje problem z równoległym wykonywaniem przy użyciu współdzielonego zasobu z niewłaściwą synchronizacją, co prowadzi do wystąpienia warunku wyścigu. Umożliwia to autoryzowanemu atakującemu lokalne podniesienie uprawnień.

A vulnerability in FlashBlade allows sensitive information to be logged under specific conditions.

Wersje Acrobat Reader 26.001.21411, 24.001.30360, 24.001.30362 i wcześniejsze są podatne na lukę związaną z nieprawidłową kontrolą modyfikacji atrybutów prototypu obiektu ('zanieczyszczenie prototypu'). Wykorzystanie tej luki może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, co wymaga interakcji użytkownika poprzez otwarcie złośliwego pliku.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu out-of-bounds read podczas analizowania spreparowanego pliku, co może prowadzić do odczytu poza końcem przydzielonej struktury pamięci. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego użytkownika.

Wersje InDesign Desktop 20.5.2, 21.2 i wcześniejsze są podatne na lukę typu Use After Free, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

InDesign Desktop versions 20.5.2, 21.2 and earlier are affected by a Heap-based Buffer Overflow vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.

W Fortinet FortiDDoS-F w wersjach 7.2.1 do 7.2.2 występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Atakujący może wykorzystać tę lukę, wysyłając odpowiednio skonstruowane żądania HTTP, co pozwala na wykonanie nieautoryzowanego kodu lub poleceń.

W systemie Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Contact/Persons/PersonController.php. Umożliwia ona uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie kontaktów należących do innych użytkowników poprzez odpowiednio skonstruowane żądanie GET.

W podatności CVE-2026-38530 występuje problem z autoryzacją na poziomie obiektów (BOLA) w punkcie końcowym /Controllers/Lead/LeadController.php w systemie Webkul Krayin CRM w wersji 2.2.x. Umożliwia to uwierzytelnionym atakującym dowolne odczytywanie, modyfikowanie oraz trwałe usuwanie leadów należących do innych użytkowników poprzez wysłanie odpowiednio skonstruowanego żądania GET.

W Webkul Krayin CRM w wersji 2.2.x występuje luka typu Broken Object-Level Authorization (BOLA) w punkcie końcowym /Settings/UserController.php, która pozwala uwierzytelnionym atakującym na dowolne resetowanie haseł użytkowników oraz przejęcie pełnej kontroli nad kontem poprzez dostarczenie odpowiednio skonstruowanego żądania HTTP.

W wersji 2.2.x systemu Krayin CRM odkryto podatność na wstrzyknięcie SQL poprzez parametr rotten_lead w pliku /Lead/LeadDataGrid.php.

W komponentach /settings/webhooks/create systemu Webkul Krayin CRM w wersji 2.2.x występuje podatność typu Server-Side Request Forgery (SSRF), która umożliwia atakującym skanowanie zasobów wewnętrznych poprzez dostarczenie odpowiednio skonstruowanego żądania POST.

An improper authentication vulnerability exists in Fortinet FortiSOAR PaaS versions 7.6.0 through 7.6.3 and 7.5.0 through 7.5.2, as well as in on-premise versions 7.6.0 through 7.6.3 and 7.5.0 through 7.5.2. An unauthenticated attacker may bypass authentication by replaying a captured 2FA request.