CVE Vulnerability Catalog

Podatność CVE-2025-13708 dotyczy funkcji _load_checkpoint w Tencent NeuralNLP-NeuralClassifier, która umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13707 dotyczy deserializacji niezaufanych danych w funkcji model_resume w modelu Tencent HunyuanDiT, co pozwala zdalnym atakującym na wykonanie dowolnego kodu. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13706 w Tencent PatrickStar umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-13703 w VIPRE Advanced Security pozwala lokalnym atakującym na eskalację uprawnień. Problem wynika z nieprawidłowych uprawnień na folderze w instalatorze produktu, co umożliwia wykonanie dowolnego kodu w kontekście SYSTEM.

Podatność CVE-2025-13700 dotyczy zdalnego wykonania kodu w aplikacji DreamFactory poprzez wstrzyknięcie polecenia w metodzie saveZipFile. Problem wynika z braku odpowiedniej walidacji ciągu dostarczonego przez użytkownika przed jego użyciem do wykonania wywołania systemowego.

Podatność w narzędziu mariadb-dump w MariaDB umożliwia zdalnym atakującym wykonanie dowolnego kodu na podatnych instalacjach. Problem wynika z niewłaściwej walidacji ścieżek dostarczanych przez użytkownika przed ich użyciem w operacjach na plikach.

Podatność w MSP360 Free Backup umożliwia lokalnym atakującym eskalację uprawnień na zainfekowanych instalacjach. Wymaga to wcześniejszego uzyskania możliwości wykonania kodu o niskich uprawnieniach oraz interakcji ze strony administratora.

Podatność CVE-2025-12491 w Senstar Symphony umożliwia zdalnym atakującym ujawnienie wrażliwych informacji na zainfekowanych instalacjach. Wykorzystanie tej podatności nie wymaga uwierzytelnienia.

A flaw has been found in Tenda WH450 1.0.0.18. The affected element is an unknown function of the file /goform/Natlimit of the component HTTP Request Handler. This manipulation of the argument page causes stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been published and may be used.

A vulnerability was detected in Tenda WH450 1.0.0.18. Impacted is an unknown function of the file /goform/NatStaticSetting. The manipulation of the argument page results in stack-based buffer overflow. The attack may be performed from remote. The exploit is now public and may be used.

Podatność CVE-2025-14931 w Hugging Face smolagents pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z niewłaściwej walidacji danych dostarczanych przez użytkownika podczas analizy danych pickle.

Podatność CVE-2025-14925 w Hugging Face Accelerate umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Podatność CVE-2025-14922 w Hugging Face Diffusers CogView4 umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

W Keycloak odkryto lukę, która pozwala nieautoryzowanemu zdalnemu atakującemu na wywołanie ataku typu denial of service (DoS) poprzez wielokrotne inicjowanie żądań renegocjacji TLS 1.2. Może to prowadzić do wyczerpania zasobów CPU serwera, co skutkuje niedostępnością usługi.

Improper input handling in /Grocery/search_products_itname.php in PuneethReddyHC event-management 1.0 permits SQL injection via the sitem_name POST parameter. Crafted payloads can alter query logic and disclose database contents. Exploitation may result in sensitive data disclosure and backend compromise.

Easy Anti-Cheat w wersji 4.0 firmy Epic Games zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom bez uprawnień na wykonanie dowolnego kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać konfigurację usługi, wprowadzając złośliwy kod w ścieżce głównej systemu, który zostanie uruchomiony z uprawnieniami LocalSystem podczas uruchamiania aplikacji.

Cadmium CMS v.0.4.9 has a background arbitrary file upload vulnerability in /admin/content/filemanager/uploads.

NVIDIA Isaac Launchable contains a vulnerability where an attacker could cause an execution with unnecessary privileges. A successful exploit of this vulnerability might lead to code execution, escalation of privileges, denial of service, information disclosure and data tampering.

In Eclipse Cyclone DDS before version 0.10.5, improper verification of the time certificate allows attackers to bypass certificate checks and execute commands with System privileges.

eProsima Fast-DDS version 3.3 was found to have improper validation for ticket revocation, resulting in insecure communications and connections.