CVE Vulnerability Catalog

Parsl prior to version 2026.01.05 contains a SQL Injection vulnerability in the parsl-visualize component. The application constructs SQL queries using unsafe string formatting (Python % operator) with user-supplied input (workflow_id) directly from URL routes. This allows an unauthenticated attacker with access to the visualization dashboard to inject arbitrary SQL commands, potentially leading to data exfiltration or denial of service against the monitoring database.

In ZimaOS up to and including version 1.5.0, the application checks the validity of the username but appears to skip, misinterpret, or incorrectly validate the password when the provided username matches a known system service account. The login function fails to properly handle the password validation result for these users, effectively granting authenticated access to anyone who knows one of these common usernames and provides any password. As of time of publication, no known patched versions are available.

Zestaw reguł OWASP (CRS) zawiera ogólne reguły wykrywania ataków dla zgodnych zapór aplikacji webowych. W wersjach przed 4.22.0 i 3.3.8 występuje błąd w regule 922110, który powoduje nadpisywanie zmiennych przechwytywania podczas przetwarzania żądań multipart z wieloma częściami.

Asseco InfoMedica stores all users' passwords in a database in an encoded format. An attacker in possession of these encoded passwords can decode them using an algorithm embedded in the client-side part of the software. This vulnerability has been fixed in versions 4.50.1 and 5.38.0.

Asseco InfoMedica is a comprehensive solution used to manage both administrative and medical tasks in the healthcare sector. A low privileged user is able to obtain encoded passwords of all other accounts (including main administrator) due to lack of granularity in access control. Chained exploitation of this vulnerability and CVE-2025-8307 allows an attacker to escalate privileges. This vulnerability has been fixed in versions 4.50.1 and 5.38.0.

W Ansible Automation Platform (AAP) wykryto lukę, która pozwala na wykonywanie operacji zapisu za pomocą tokenów OAuth2 o ograniczonym dostępie do odczytu. Mimo że tokeny te są egzekwowane na poziomie bramy dla operacji specyficznych dla bramy, luka ta umożliwia ich wykorzystanie do modyfikacji usług backendowych.

A flaw was identified in the NTLM authentication handling of the libsoup HTTP library, used by GNOME and other applications for network communication. When processing extremely long passwords, an internal size calculation can overflow due to improper use of signed integers, resulting in incorrect memory allocation on the stack and unsafe memory copying. Applications using libsoup may crash unexpectedly, creating a denial-of-service risk.

A message out-of-bounds read vulnerability in Trend Micro Apex Central could allow a remote attacker to create a denial-of-service condition on affected installations. Please note: authentication is not required in order to exploit this vulnerability.

A message unchecked NULL return value vulnerability in Trend Micro Apex Central could allow a remote attacker to create a denial-of-service condition on affected installations. Please note: authentication is not required in order to exploit this vulnerability.

A LoadLibraryEX vulnerability in Trend Micro Apex Central could allow an unauthenticated remote attacker to load an attacker-controlled DLL into a key executable, leading to execution of attacker-supplied code under the context of SYSTEM on affected installations.

Projekty korzystające z środowiska wirtualizacji SUSE (Harvester) mogą ujawniać domyślne hasło do logowania SSH systemu operacyjnego, jeśli używają interaktywnego instalatora w wersji 1.5.x lub 1.6.x do tworzenia nowego klastra lub dodawania nowych hostów do istniejącego klastra. Środowisko nie jest narażone, jeśli wykorzystany jest mechanizm rozruchu PXE wraz z konfiguracją Harvester.

NeuVector obsługuje uwierzytelnianie logowania za pomocą OpenID Connect, jednak w domyślnej konfiguracji nie wymusza weryfikacji TLS, co może prowadzić do ataków typu man-in-the-middle (MITM).

CoreShop prior to version 4.1.8 contains a blind SQL injection vulnerability that allows an authenticated administrator-level user to extract database contents using boolean-based or time-based techniques. The database account used by the application is read-only and non-DBA, limiting impact to confidential data disclosure only. No data modification or service disruption is possible.

NiceGUI versions 2.22.0 to 3.4.1 have an unsafe implementation in the pushstate event listener used by ui.sub_pages, allowing an attacker to manipulate the fragment identifier of the URL, even cross-site, using an iframe. This issue has been patched in version 3.5.0.

The Easy Media Download WordPress plugin versions up to and including 1.1.11 is vulnerable to Reflection Injection due to improper neutralization of script-related HTML tags (Basic XSS). This could allow injection of malicious JavaScript.

Podatność CVE-2025-68892 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Scroll rss excerpt w wersjach od n/a do 5.0.

W podatności CVE-2025-68891 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki WP App Bar w wersjach od n/a do 1.5 włącznie.

Podatność CVE-2025-68890 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie hands01 e-shops e-shops-cart2. Problem ten dotyczy wersji od n/a do 1.0.4 włącznie.

W podatności CVE-2025-68889 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Pinpoll. Problem dotyczy wersji Pinpoll od n/a do 4.0.0 włącznie.

Wtyczka WP-BusinessDirectory w CMSJunkie dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 4.0.1.