CVE Vulnerability Catalog

Problem ten został rozwiązany poprzez poprawę zarządzania stanem. Występuje w aplikacjach, które mogą wykonywać dowolny kod poza swoją piaskownicą lub z pewnymi podwyższonymi uprawnieniami.

Wykryto podatność w urządzeniach TP-Link TL-WR841N v11, TL-WR842ND v2 oraz TL-WR494N v3. Problem występuje w pliku /userRpm/WlanNetworkRpm.htm z powodu braku walidacji parametrów wejściowych, co może prowadzić do przepełnienia bufora, powodując awarię usługi webowej i skutkując warunkiem odmowy usługi (DoS).

Podatność CVE-2025-2928 dotyczy wstrzykiwania SQL, które wpływa na rolę Archivera. Może to umożliwić atakującym manipulację danymi w bazie danych.

W HCL BigFix Remote Control Server WebUI (wersje 10.1.0.0248 i niższe) występują niewłaściwe ograniczenia dostępu, które pozwalają użytkownikom niebędącym administratorami na przeglądanie nieautoryzowanych informacji na niektórych stronach internetowych.

The Grandstream GXP1628 device up to version 1.0.4.130 has directory listing enabled, allowing unauthorized users to access sensitive directories and files.

W podatności CRLF Injection w oprogramowaniu DECE Geodi występuje niewłaściwe neutralizowanie sekwencji CRLF, co pozwala na dzielenie żądań HTTP. Problem dotyczy wersji Geodi przed 9.0.146.

Wtyczka Hydra Booking dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji tfhb_reset_password_callback() w wersjach od 1.1.0 do 1.1.18. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, zresetowanie hasła użytkownika Administratora, co prowadzi do pełnej eskalacji uprawnień.

Motyw Bricks dla WordPressa jest podatny na ślepe wstrzykiwanie SQL poprzez parametr 'p' we wszystkich wersjach do i włącznie z 1.12.4, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących zapytań.

Improper session invalidation in the /carrental/update-password.php component of PHPGurukul Car Rental Project v3.0 allows attackers to execute a session hijacking attack.

The vulnerability in the /crm/change-password.php script of PHPGurukul Online Course Registration v3.1 stems from improper session invalidation after password change. This allows an attacker to hijack the user's session and gain unauthorized access to the account.

An authenticated remote code execution vulnerability in PowerStick Wave Dual-Band Wifi Extender V1.0 allows an attacker with valid credentials to execute arbitrary commands with root privileges. The issue stems from insufficient sanitization of user-supplied input in the /cgi-bin/cgi_vista.cgi executable, which is passed to a system-level function call.

A defect in CPython's tarfile module affects TarFile extraction and entry enumeration APIs. Tar archives with negative offsets cause an infinite loop and deadlock during parsing of malicious archives.

In PHPGurukul Blood Bank & Donor Management System v2.4, the component /bbdms/change-password.php suffers from improper session invalidation. This allows attackers to perform a session hijacking attack.

In PHPGurukul Small CRM v3.0, improper session invalidation in /crm/change-password.php allows attackers to perform a session hijacking attack.

Improper session invalidation in the /edms/change-password.php component of PHPGurukul e-Diary Management System v1 allows attackers to perform a session hijacking attack.

Improper session invalidation in the /banker/change-password.php component of PHPGurukul Bank Locker Management System v1 allows attackers to perform a session hijacking attack.

In PHPGurukul Student Result Management System v2.0, the component /srms/change-password.php suffers from improper session invalidation. This allows attackers to perform a session hijacking attack.

A vulnerability in PHPGurukul Online Library Management System v3.0 in the /library/change-password.php component is due to improper session invalidation. This allows attackers to perform a session hijacking attack.

Improper session invalidation in the /doctor/change-password.php component of PHPGurukul Car Washing Management System v1.0 allows attackers to perform a session hijacking attack.

The vulnerability in PHPGurukul Doctor Appointment Management System v1 in the /doctor/change-password.php file is due to improper session invalidation. This allows an attacker to perform a session hijacking attack.