CVE Vulnerability Catalog

anyRTC-RTMP-OpenSource before version 1.0 has an improper restriction of operations within the bounds of a memory buffer in the third_party/faad2-2.7/libfaad module, in bits.C and syntax.C. This can lead to crashes or security issues.

Beat-access dla systemu Windows w wersji 3.0.3 i wcześniejszych zawiera problem z ścieżką wyszukiwania DLL, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek. W rezultacie może zostać wykonany dowolny kod z uprawnieniami SYSTEM.

Podatność CVE-2026-1361 dotyczy przepełnienia bufora na stosie w oprogramowaniu ASDA-Soft. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.

MobSF to narzędzie do testowania bezpieczeństwa aplikacji mobilnych. W wersjach przed 4.4.5 występuje podatność typu Stored Cross-site Scripting (XSS) w analizie manifestu Androida, która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki ofiary poprzez przesłanie złośliwego pliku APK.

Python-Multipart versions prior to 0.0.22 have a Path Traversal vulnerability when using non-default configuration options UPLOAD_DIR and UPLOAD_KEEP_FILENAME=True. An attacker can write uploaded files to arbitrary filesystem locations via a crafted filename.

QGIS before commit 76a693cd91650f9b4e83edac525e5e4f90d954e9 has a remote code execution vulnerability in the GitHub Actions workflow 'pre-commit checks' because it uses the pull_request_target trigger and executes untrusted pull request code in a privileged context. This can lead to repository compromise.

HUSTOF to otwartoźródłowy system oceny online oparty na PHP/C++/MySQL/Linux, używany w treningach ACM/ICPC i NOIP. W wersjach przed 26.01.24 moduły problem_import_qduoj.php i problem_import_hoj.php nieprawidłowo sanitizują nazwy plików w przesyłanych archiwach ZIP, co umożliwia atakującym wykonanie złośliwego kodu.

AnythingLLM before version 1.10.0 has a critical Path Traversal vulnerability in the DrupalWiki integration, allowing a malicious admin (or an attacker who convinces an admin to configure a malicious DrupalWiki URL) to write arbitrary files to the server. This can lead to Remote Code Execution (RCE).

AnythingLLM before version 1.10.0, when configured to use Qdrant as the vector database with an API key, can expose this key in plain text to unauthenticated users via the `/api/setup-complete` endpoint. Leakage of the key allows an attacker full read/write access to the Qdrant vector database.

W systemie zarządzania autobusami Hisense TransTech Smart Bus Management System do wersji 20260113 znaleziono lukę. Manipulacja argumentem 'key' w funkcji Page_Load pliku TireMng.aspx może prowadzić do ataku typu SQL injection, który można przeprowadzić zdalnie.

D-Link DIR-615 up to version 4.10 has an OS command injection vulnerability in the file /wiz_policy_3_machine.php in the Web Management Interface. Manipulation of the ipaddr argument allows remote command execution. The exploit is public, and the product is no longer supported.

Skipper to router HTTP i reverse proxy dla kompozycji usług. W wersjach przed 0.24.0, użytkownicy z uprawnieniami do tworzenia Ingress i usługi typu ExternalName mogli tworzyć trasy, które umożliwiały im dostęp do wewnętrznych usług za pośrednictwem Skippera.

W wersjach od 1.4.0 do 3.27.7 biblioteki AssertJ występuje podatność typu XML External Entity (XXE) w metodzie `toXmlDocument(String)` klasy `XmlStringPrettyFormatter`. Problem polega na tym, że `DocumentBuilderFactory` jest inicjowany z domyślnymi ustawieniami, co nie wyłącza DTD ani zewnętrznych encji.

BentoML to biblioteka Pythona do budowania systemów serwujących zoptymalizowanych dla aplikacji AI i wnioskowania modeli. W wersjach przed 1.4.34, konfiguracja `bentofile.yaml` w BentoML umożliwia ataki typu path traversal poprzez różne pola ścieżek plików, co pozwala na wykradanie dowolnych plików z systemu plików.

CVE-2025-30248 is a DLL hijacking vulnerability in the WD Discovery Installer from Western Digital, version 5.2.730 on Windows. It allows a local attacker to execute arbitrary code by placing a crafted DLL in the installer's search path.

vm2 to otwarte źródło vm/sandbox dla Node.js. W wersjach przed 3.10.2, sanizacja callbacków `Promise.prototype.then` i `Promise.prototype.catch` może zostać ominięta, co pozwala atakującym na ucieczkę z sandboxa i uruchomienie dowolnego kodu.

Vulnerability in dcap-qvl before version 0.3.9 involves skipping verification of the QE Identity signature and not enforcing policy constraints on the QE Report. An attacker can forge QE Identity data to whitelist a malicious or non-Intel Quoting Enclave, allowing them to sign untrusted quotes that the verifier accepts as valid.

Podatność typu SQL Injection występuje w strukturze dla uwierzytelnionego użytkownika administracyjnego. Może to pozwolić atakującemu na wykonanie nieautoryzowanych zapytań do bazy danych.

Multiple denial of service vulnerabilities have been found in React Server Components packages (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack). Specially crafted HTTP requests to Server Function endpoints can cause server crashes, out-of-memory exceptions, or excessive CPU usage.

W projekcie Online Music Site 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /Administrator/PHP/AdminDeleteUser.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.