CVE Vulnerability Catalog

Wykryto podatność w systemie CMS firmy SourceCodester Company Website w wersji 1.0, która dotyczy nieznanej części pliku /admin/reset-password.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.

W systemie głosowania online Campcodes w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /registeracc.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

Nieprawidłowe domyślne uprawnienia w AMD StoreMI™ mogą umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

W podatności CVE-2024-21922 występuje problem z przechwytywaniem DLL w AMD StoreMI™, który może umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

W systemie głosowania online Campcodes w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcjonalności pliku /admin/checklogin.php. Manipulacja argumentem myusername może prowadzić do wstrzyknięcia SQL.

W systemie zarządzania plikami szkolnymi Campcodes w wersji 1.0 wykryto podatność. Manipulacja argumentem stud_no w pliku /index.php komponentu Logowanie prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

W systemie zarządzania dostawcami Campcodes w wersji 1.0 wykryto podatność bezpieczeństwa, która dotyczy nieznanej funkcji pliku /index.php komponentu Logowanie. Manipulacja argumentem txtUsername prowadzi do wstrzyknięcia SQL.

Wtyczka OneClick Chat to Order dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektów we wszystkich wersjach do 1.0.8 włącznie, z powodu braku walidacji klucza kontrolowanego przez użytkownika w funkcji 'wa_order_thank_you_override'. Umożliwia to nieautoryzowanym atakującym przeglądanie wrażliwych informacji o klientach.

Wtyczka CP Contact Form with PayPal dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do i włącznie z 1.3.56. Problem wynika z wystawienia nieautoryzowanego punktu końcowego podobnego do IPN, który przetwarza potwierdzenia płatności bez jakiejkolwiek autoryzacji.

Improper input validation in the TLS 1.3 CKS extension parsing in wolfSSL 5.8.2 and earlier on multiple platforms allows a remote unauthenticated attacker to potentially cause a denial-of-service via a crafted ClientHello message with duplicate CKS extensions.

SpiceDB is an open source database system for creating and managing security-critical application permissions. Prior to version 1.47.1, if a schema includes the following characteristics: permission defined in terms of a union (+) and that union references the same relation on both sides (but one side arrows to a different permission). Then SpiceDB may have missing LookupResources results when checking the permission. This only affects LookupResources; other APIs calculate permissionship correctly. The issue is fixed in version 1.47.1.

Podatność w narzędziu md-to-pdf przed wersją 5.2.5 pozwala na wykonanie dowolnego kodu zdalnego poprzez blok front-matter w Markdown zawierający delimiter JavaScript. Wykorzystanie tej luki może prowadzić do nieautoryzowanego dostępu do systemu.

A parsing issue in the handling of directory paths was addressed with improved path validation. This affects macOS Sequoia 15.5, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3. An app may be able to access sensitive user data.

Black Duck SCA versions prior to 2025.10.0 had user role permissions configured in an overly broad manner. Users with the scoped Project Manager user role with the Global User Read access permission enabled access to certain Project Administrator functionalities which should have been inaccessible. Exploitation does not grant full system control, but it may enable unauthorized changes to project configurations or access to system sensitive information.

Wtyczka Zegen Core dla WordPressa jest podatna na atak Cross-Site Request Forgery, umożliwiający przesyłanie dowolnych plików w wersjach do 2.0.1 włącznie. Problem wynika z braku walidacji nonce oraz walidacji typu pliku w pliku '/custom-font-code/custom-fonts-uploads.php'.

IBM Concert Software versions 1.0.0 through 2.0.0 could allow a remote attacker to hijack the clicking action of the victim, potentially leading to unintended actions on behalf of the user.

hpke-js to moduł Hybrydowego Szyfrowania Klucza Publicznego (HPKE) oparty na API kryptografii internetowej. Przed wersją 1.7.5, publiczna metoda Seal() w SenderContext miała warunek wyścigu, co pozwalało na wielokrotne użycie tego samego nonce AEAD dla różnych wywołań Seal().

MLX is an array framework for machine learning on Apple silicon. Prior to version 0.29.4, there is a segmentation fault in mlx::core::load_gguf() when loading malicious GGUF files. An untrusted pointer from the external gguflib library is dereferenced without validation, causing application crash. This issue has been patched in version 0.29.4.

MLX, an array framework for machine learning on Apple silicon, prior to version 0.29.4 has a heap buffer overflow in mlx::core::load() when parsing malicious NumPy .npy files. An attacker-controlled file causes a 13-byte out-of-bounds read, leading to crash or information disclosure.

Improper input validation within AMD uprof can allow a local attacker to overwrite MSR registers, potentially resulting in crash or denial of service.