CVE Vulnerability Catalog

Podatny produkt nie ogranicza liczby prób wprowadzenia poprawnego PIN-u dla zarejestrowanego urządzenia, co może umożliwić atakującemu uzyskanie nieautoryzowanego dostępu przy użyciu metod brute-force, jeśli posiada ważny numer seryjny urządzenia. API dostarcza jasnych informacji zwrotnych, gdy poprawny PIN zostanie wprowadzony.

Endpoint /users w Statamic Core przed wersją 2.11.8 umożliwia atak XSS, który pozwala na dodanie użytkownika administratora. Można to wykorzystać za pomocą ataku CSRF. Możliwe jest wystąpienie XSS przechowywanego poprzez ładunek JavaScript w nazwie użytkownika podczas rejestracji konta oraz XSS odzwierciedlonego poprzez PATH_INFO /users.

Oprogramowanie MiR w wersjach wcześniejszych niż 3.0.0 jest podatne na lukę typu injection komend. Złośliwe żądanie HTTP stworzone przez uwierzytelnionego użytkownika może umożliwić wykonanie dowolnych poleceń na systemie operacyjnym.

Biblioteka skops w wersjach 0.12.0 i poniżej ma lukę w funkcji Card.get_model, która nie zapobiega wykonaniu dowolnego kodu. Przy ładowaniu modeli w formacie .skops stosowane jest bezpieczne ładowanie, ale w przypadku innych formatów plików funkcja przechodzi do joblib, co może prowadzić do wykonania złośliwego kodu.

In GStreamer through 1.26.1, the isomp4 plugin's qtdemux_parse_trak function may read past the end of a heap buffer while parsing an MP4 file, possibly leading to information disclosure.

GPMAW 14, oprogramowanie bioinformatyczne, ma krytyczną podatność związaną z niebezpiecznymi uprawnieniami do plików w swoim katalogu instalacyjnym. Katalog ten jest dostępny z pełnymi uprawnieniami do odczytu, zapisu i wykonywania dla wszystkich użytkowników, co pozwala na manipulację plikami, w tym plikami wykonywalnymi.

A cross-site scripting (XSS) vulnerability was found in the PdfViewer component of Agenzia Impresa Eccobook 2.81.1. Attackers can inject malicious JavaScript or HTML via the Temp parameter.

LinkJoin przez 882f196 niewłaściwie obsługuje własność tokenów podczas resetowania hasła. Może to prowadzić do nieautoryzowanego dostępu do kont użytkowników.

LinkJoin w wersji 882f196 niewłaściwie obsługuje brak sprawdzania typu podczas resetowania hasła. Może to prowadzić do nieautoryzowanego dostępu do kont użytkowników.

W podatności CVE-2025-24000 występuje możliwość ominięcia uwierzytelnienia w wtyczce Post SMTP autorstwa Saada Iqbala. Problem ten dotyczy wersji Post SMTP od n/a do 3.2.0 włącznie.

W wielu produktach SEIKO EPSON i FUJIFILM Corporation domyślne hasło administratora jest łatwe do odgadnięcia na podstawie informacji dostępnych przez SNMP. Jeśli hasło administratora nie zostanie zmienione, zdalny atakujący z dostępem do SNMP może zalogować się do produktu z uprawnieniami administratora.

EDK2 zawiera podatność w BIOS, która umożliwia atakującemu spowodowanie 'awarii mechanizmu ochrony' przy lokalnym dostępie. Udana eksploitacja tej podatności prowadzi do wykonania dowolnego kodu oraz wpływa na poufność, integralność i dostępność.

An unrestricted file upload vulnerability in Vedo Suite 2024.17 allows remote authenticated attackers to write to arbitrary filesystem paths by exploiting the insecure 'uploadPreviews()' function in '/api_vedo/colorways_preview', ultimately resulting in remote code execution (RCE).

Insecure storage of credentials has been found in the /api_vedo/configuration/config.yml file in Vedo Suite version 2024.17. This file contains clear-text credentials, secret keys, and database information.

Middleware generuje nadmierną ilość alokacji pamięci na stercie podczas przetwarzania złośliwych żądań preflight, które zawierają nagłówek Access-Control-Request-Headers (ACRH) z wartością zawierającą wiele przecinków. Taki stan rzeczy może być wykorzystany przez atakujących do wywołania nadmiernego obciążenia na middleware/serwerze, co może prowadzić do odmowy usługi.

Cross-site scripting (XSS) vulnerability in Zone Bitaqati through version 3.4.0. Allows an attacker to inject malicious JavaScript code into pages viewed by other users.

On April 18th, 2025, Microsoft announced security changes for Exchange Server in hybrid deployments and accompanying hot fixes. Further investigation revealed specific security implications related to these changes.

Podatność CVE-2025-46390 dotyczy niezgodności w odpowiedziach, które mogą być obserwowane przez atakującego. Tego rodzaju luka może prowadzić do ujawnienia informacji o systemie lub aplikacji.

Podatność CVE-2025-46387 dotyczy obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Może to prowadzić do nieautoryzowanego dostępu do zasobów systemu.