CVE Vulnerability Catalog

Odtwarzacze BrightSign działające na systemie operacyjnym BrightSign OS serii 4 przed wersją 8.5.53.1 oraz serii 5 przed wersją 9.0.166 używają domyślnego hasła, które można odgadnąć znając informacje o urządzeniu. Najnowsza wersja rozwiązuje ten problem dla nowych instalacji.

Crawl4AI versions prior to 0.8.0 contain a local file inclusion vulnerability in the Docker API deployment. The /execute_js, /screenshot, /pdf, and /html endpoints accept file:// URLs, allowing unauthenticated remote attackers to read arbitrary files from the server filesystem.

Crawl4AI versions prior to 0.8.0 contain a remote code execution vulnerability in the Docker API deployment. The /crawl endpoint accepts a hooks parameter containing Python code that is executed using exec(). The __import__ builtin was included in the allowed builtins, allowing unauthenticated remote attackers to import arbitrary modules and execute system commands.

Galaxy FDS Android SDK version 3.0.8 and prior disables TLS hostname verification when HTTPS is enabled (the default configuration). The SDK configures Apache HttpClient with SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER, which accepts any valid TLS certificate regardless of hostname mismatch. Since HTTPS is enabled by default in FDSClientConfiguration, all applications using the SDK with default settings are affected.

Problem w wersji halo v.2.22.4 i wcześniejszych umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez wysłanie spreparowanego ładunku do publicznego punktu przesyłania komentarzy.

An issue in the 'My Details' user profile functionality of Ideagen Q-Pulse 7.1.0.32 allows an authenticated user to view other users' profile information by modifying the objectKey HTTP parameter in the My Details page URL.

Podatność typu Cross Site Request Forgery w Dolibarr ERP & CRM w wersji 22.0.9 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez pole notatek w perms.php. Istnieją jednak kontrowersje dotyczące tej podatności, ponieważ niektórzy twierdzą, że wykorzystanie jej jest możliwe tylko wtedy, gdy nieuprzywilejowany użytkownik zna token użytkownika z uprawnieniami administratora.

Wtyczka FastDup – Najszybsza migracja i duplikator WordPressa jest podatna na nieautoryzowane tworzenie i pobieranie kopii zapasowych z powodu braku sprawdzenia uprawnień na punktach końcowych REST API we wszystkich wersjach do 2.7.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie i pobieranie pełnych archiwów kopii zapasowych całej instalacji WordPressa, w tym eksportów bazy danych i plików konfiguracyjnych.

Podatność CVE-2025-14014 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w oprogramowaniu Smart Panel firmy NTN Information Processing Services. Problem ten pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

W oprogramowaniu układowym zarządzania energią AMD (PMFW) występuje niezamierzony proxy lub pośrednik, który może umożliwić atakującemu z uprawnieniami wysyłanie źle sformatowanych wiadomości do jednostki zarządzania systemem (SMU), co może prowadzić do wykonania dowolnego kodu.

A heap buffer overflow in PostgreSQL pg_trgm allows a database user to achieve unknown impacts via a crafted input string. The attacker has limited control over byte patterns, but privilege escalation is not ruled out. Affects versions 18.0 and 18.1.

Missing validation of multibyte character length in PostgreSQL text manipulation allows a database user to issue crafted queries that achieve a buffer overrun. That suffices to execute arbitrary code as the operating system user running the database.

A heap buffer overflow in PostgreSQL pgcrypto allows a ciphertext provider to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected.

Missing input type validation in the PostgreSQL intarray extension selectivity estimator function allows an object creator to execute arbitrary code as the OS user running the database. Versions before 18.2, 17.8, 16.12, 15.16, and 14.21 are affected.

Wtyczka Secure Copy Content Protection i Content Locking dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting poprzez nagłówek HTTP 'X-Forwarded-For' we wszystkich wersjach do 4.9.8 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13004 dotyczy oprogramowania E-Commerce Package firmy Farktor Software E-Commerce Services Inc. i pozwala na obejście autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Podatność CVE-2025-13002 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w pakiecie e-commerce Farktor Software. Umożliwia to ataki typu Cross-Site Scripting (XSS).

W podatności CVE-2025-10969 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w pakiecie E-Commerce firmy Farktor Software. Problem ten dotyczy wersji pakietu E-Commerce do dnia 27 listopada 2025 roku.

Wtyczka Customer Reviews dla WooCommerce w WordPressie jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'media[].href' we wszystkich wersjach do 5.97.0 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym (jeśli 'Włącz dla gości' jest aktywne) wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Zainfekowane urządzenia nie weryfikują certyfikatu serwera podczas łączenia z serwerem SolaX Cloud MQTTS hostowanym w Alibaba Cloud. To umożliwia atakującym w pozycji man-in-the-middle podszywanie się pod prawdziwy serwer MQTT i wydawanie dowolnych poleceń do urządzeń.