CVE Vulnerability Catalog

W gix-date znaleziono błąd, który pozwala funkcji `gix_date::parse::TimeBuf::as_str` generować ciągi zawierające nieprawidłowe znaki nie-UTF8. Problem ten narusza wewnętrzne zasady bezpieczeństwa komponentu `TimeBuf`, co prowadzi do nieokreślonego zachowania podczas przetwarzania tych wadliwych ciągów.

A flaw was found in the GnuTLS library in the gnutls_pkcs11_token_init() function handling PKCS#11 token initialization. Processing a token label longer than expected causes a stack buffer overflow, potentially leading to application crashes or code execution.

A flaw in NetworkManager allows non-root users to access files owned by other users when configuring the network. The daemon runs with root privileges and can read files belonging to users other than the one who added the connection.

A flaw in KubeVirt Containerized Data Importer (CDI) allows cloning PersistentVolumeClaims (PVCs) from unauthorized namespaces. This vulnerability results in unauthorized data access via the DataImportCron PVC source mechanism.

A flaw in the mapstructure library for Go causes information disclosure through detailed error messages. The WeakDecode function may leak sensitive input values in error messages when processing malformed data.

W interfejsie administracyjnym oprogramowania TP-Link Archer MR600 v5 odkryto podatność na wstrzykiwanie poleceń, która pozwala uwierzytelnionym atakującym na wykonywanie poleceń systemowych za pomocą odpowiednio przygotowanego wejścia w konsoli dewelopera przeglądarki. Może to prowadzić do zakłócenia działania usługi lub pełnego przejęcia systemu.

A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) allows account passwords to be changed through the maintenance interface without requiring verification of the existing password. This enables unauthorized password changes when access to the affected endpoint is obtained.

Shenzhen Tenda W30E V2 firmware up to V16.01.0.19(5037) does not enforce rate limiting or account lockout on authentication endpoints, allowing unrestricted brute-force attacks against administrative credentials.

A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) discloses sensitive account credentials in cleartext within HTTP responses generated by the maintenance interface. Because the management interface is accessible over unencrypted HTTP by default, credentials may be exposed to network-based interception.

Shenzhen Tenda W30E V2 firmware up to V16.01.0.19(5037) ships with a predefined default password for a built-in authentication account that is not required to be changed during initial configuration. An attacker can leverage these default credentials to gain authenticated access to the management interface.

A vulnerability in Shenzhen Tenda W30E V2 firmware versions up to and including V16.01.0.19(5037) allows an authenticated low-privileged user to change the administrator password. The attack involves sending a crafted request directly to the user management API, bypassing role-based restrictions enforced by the web interface.

Crucial Storage Executive installer versions prior to 11.08.082025.00 contain a DLL preloading vulnerability. During installation with elevated privileges, the installer loads Windows DLLs using an uncontrolled search path, which can cause a malicious DLL placed alongside the installer to be loaded instead of the intended system library.

IDT PC Audio w wersji 1.0.6499.0 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom na potencjalne wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność w usłudze STacSV do wstrzyknięcia złośliwego kodu, który zostanie uruchomiony z uprawnieniami konta LocalSystem podczas uruchamiania usługi.

Kite 1.2020.1119.0 contains an unquoted service path vulnerability in the KiteService Windows service that allows local attackers to potentially execute arbitrary code. Attackers can exploit the unquoted path in 'C:\Program Files\Kite\KiteService.exe' to inject malicious executables and escalate privileges on the system.

PDF Complete w wersji 3.5.310.2002 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi pdfsvc.exe. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwego kodu z podwyższonymi uprawnieniami LocalSystem.

MiniTool ShadowMaker version 3.2 contains an unquoted service path vulnerability in the MTAgentService that allows local attackers to potentially execute arbitrary code. Attackers can exploit the unquoted path in 'C:\Program Files\MiniTool ShadowMaker\AgentService.exe' to inject malicious executables and escalate privileges.

Wersja 4.5.0 SpringBlade zawiera nieprawidłowe zabezpieczenia dostępu w funkcji importUser, co pozwala atakującym z niskimi uprawnieniami na dowolne importowanie wrażliwych danych użytkowników.

Wersja 2025.2 silnika continuous.software zawiera lukę, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez moduły pobierania szablonów excel-integration-service, listy zadań integration-persistence-service oraz moduły pobierania danych portfolio-item-service.

IObit Uninstaller 10 Pro zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom potencjalnie wykonywać kod z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność, aby wprowadzić złośliwy kod, który zostanie uruchomiony z uprawnieniami SYSTEM podczas uruchamiania usługi.