CVE Vulnerability Catalog

Podatność CVE-2025-0878 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft LimonDesk, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji LimonDesk od s1.02.14 do przed v1.02.17.

A flaw was found in libsoup's caching mechanism, SoupCache, where the HTTP Vary header is ignored when evaluating cached responses. This header ensures that responses vary appropriately based on request headers such as language or authentication. Without this check, cached content can be incorrectly reused across different requests, potentially exposing sensitive user information.

Podatność w Akinsoft LimonDesk związana z niewłaściwym ograniczeniem renderowanych warstw UI lub ramek umożliwia atak typu iFrame Overlay, co jest zgodne z CAPEC - 103 - Clickjacking. Problem dotyczy wersji LimonDesk od s1.02.14 do przed v1.02.17.

Podatność w Akinsoft MyRezzta związana z niewłaściwym egzekwowaniem workflow oraz niekontrolowanym zużyciem zasobów umożliwia manipulację danymi wejściowymi. Problem dotyczy wersji MyRezzta od s2.02.02 do przed v2.05.01.

Podatność CVE-2024-13064 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft MyRezzta, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten występuje w wersjach MyRezzta od s2.02.02 do przed v2.05.01.

Podatność CVE-2024-13063 w Akinsoft MyRezzta pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie zasobów. Problem dotyczy wersji MyRezzta od s2.02.02 do przed v2.05.01.

Samsung Notes prior to version 4.4.30.63 has improper access control, allowing physical attackers to access data across multiple user profiles. User interaction is required for triggering this vulnerability.

Improper privilege management in ThemeManager prior to SMR Sep-2025 Release 1 allows local privileged attackers to reuse trial items.

Outline versions 0.72.0 through 0.83.0 introduced local file system storage as an optional file storage strategy. This feature allowed a CSP bypass and a ContentType bypass that might facilitate further attacks. In self-hosting with FILE_STORAGE=local on the same domain as the Outline application, a malicious payload can be uploaded as a file attachment and bypass CSP restrictions, allowing script execution within another user's context. Fixed in version 0.84.0.

IBM DevOps Deploy / IBM UrbanCode Deploy (UCD) 8.1 before 8.1.2.2 could allow an authenticated user to obtain sensitive information about configuration on the system.

Incorrect access control in Beakon Application before version 5.4.3 allows authenticated attackers with low-level privileges to escalate privileges and execute commands with Administrator rights.

In the firmware of Wavlink AC1200 (versions M32A3_V1410_230602 and M32A3_V1410_240222), a post-authentication command injection vulnerability was found during password reset. The issue resides in the "set_sys_adm" function of the "adm.cgi" binary due to improper sanitization of the "newpass" field.

Podatność CVE-2025-0670 w Akinsoft ProKuafor umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do ujawnienia zasobów. Problem dotyczy wersji ProKuafor od s1.02.07 do przed v1.02.08.

W podatności CVE-2024-12974 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Akinsoft ProKuaför, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji ProKuaför od s1.02.07 do przed v1.02.08.

E3 Site Supervisor Control (firmware versions before 2.31F01) contains a hidden API call in application services that enables SSH and Shellinabox, which are disabled by default. An attacker with admin access to application services can use this API to enable remote access to the underlying OS.

E3 Site Supervisor Control (firmware version < 2.31F01) has a floor plan feature that allows an unauthenticated attacker to upload floor plan files. By uploading a specially crafted floor plan file, an attacker can inject a stored XSS into the floorplan web page.

Podatność CVE-2025-0640 w Akinsoft OctoCloud umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do ujawnienia wycieków zasobów. Problem dotyczy wersji OctoCloud od s1.09.02 do przed v1.11.01.

W podatności CVE-2024-12973 w Akinsoft OctoCloud występuje błąd walidacji pochodzenia, który umożliwia atak typu HTTP Response Splitting. Problem dotyczy wersji OctoCloud od s1.09.01 do przed v1.11.01.

Podatność CVE-2024-12972 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft OctoCloud, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji OctoCloud od s1.09.01 do przed v1.11.01.

The "Gunosy" App contains a vulnerability where sensitive information may be included in the application's outbound communication. If a user accesses a crafted URL, an attacker may obtain the JWT (JSON Web Token).