CVE Vulnerability Catalog

Azure Notification Service has an improper access control vulnerability that allows an authorized attacker to elevate privileges over a network.

Improper access control in Azure Event Grid allows an unauthorized attacker to elevate privileges over a network.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście ścieżki względnej. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz zapis plików z dowolnymi danymi na docelowej maszynie.

Podatność związana z nieprawidłowymi domyślnymi uprawnieniami w sterowniku ODBC MongoDB BI Connector umożliwia eskalację uprawnień. Problem ten dotyczy sterownika ODBC w wersjach od 1.0.0 do 1.4.6.

Rollbar.js before version 2.26.5 and from 3.0.0-alpha1 to before 3.0.0-beta5 has a prototype pollution vulnerability in merge(). If application code calls rollbar.configure() with untrusted input, prototype pollution is possible. This has been fixed in versions 2.26.5 and 3.0.0-beta5.

The Frontier Airlines website has a publicly available endpoint that validates if an email address is associated with an account. An unauthenticated, remote attacker could determine valid email addresses, possibly aiding in further attacks.

Interfejs oparty na SOAP w systemie TLS4B ATG jest podatny z powodu dostępności przez handler usług webowych. Ta podatność umożliwia zdalnym atakującym z ważnymi poświadczeniami wykonywanie poleceń na poziomie systemu w systemie Linux.

A container privilege escalation flaw was found in certain Container-native Virtualization images. The /etc/passwd file is created with group-writable permissions during build time, allowing an attacker with non-root access to modify it and add a user with arbitrary UID, including 0, leading to full root privileges within the container.

System TLS4B ATG jest podatny na niewłaściwe przetwarzanie wartości czasu Unix, które przekraczają przełom epoki 2038. Po osiągnięciu przez zegar systemowy 19 stycznia 2038 roku, następuje reset do 13 grudnia 1901 roku, co prowadzi do awarii uwierzytelniania oraz zakłóceń w podstawowych funkcjonalnościach systemu.

Portal przechwytywania może ujawniać wrażliwe informacje. Problem ten może prowadzić do nieautoryzowanego dostępu do danych użytkowników.

Portal przechwytujący może umożliwiać obejście uwierzytelniania, co stwarza ryzyko nieautoryzowanego dostępu do zasobów. Wykorzystanie tej podatności może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2025-6978 dotyczy wstrzykiwania poleceń diagnostycznych, co może umożliwić atakującym wykonanie nieautoryzowanych poleceń w systemie. Wykorzystanie tej luki może prowadzić do poważnych naruszeń bezpieczeństwa.

A reflected cross-site scripting (XSS) vulnerability in MCMS v6.0.1 allows attackers to execute arbitrary JavaScript in the context of a user's browser via a crafted payload.

Oxford Nanopore Technologies' MinKNOW software at or prior to version 24.11 stores authentication tokens in a file located in the system's temporary directory (/tmp) on the host machine. This directory is typically world-readable, allowing any local user or application to access the token. If the token is leaked (e.g., via malware infection or other local exploit), and remote access is enabled, it can be used to establish unauthorized remote connections to the sequencer. Remote access must be enabled for remote exploitation to succeed. This may occur either because the user has enabled remote access for legitimate operational reasons or because malware with elevated privileges (e.g., sudo access) enables it without user consent. This vulnerability can be chained with remote access capabilities to generate a developer token from a remote device. Developer tokens can be created with arbitrary expiration dates, enabling persistent access to the sequencer and bypassing standard authentication mechanisms.

Oprogramowanie NVIDIA vGPU zawiera podatność w Virtual GPU Manager, która pozwala złośliwemu gościowi na dostęp do nieinicjowanego wskaźnika. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

NVIDIA Project G-Assist zawiera podatność, która może umożliwić atakującemu eskalację uprawnień. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

Oxford Nanopore Technologies' MinKNOW software at or prior to version 24.11 creates a temporary file to store the local authentication token during startup, before copying it to its final location. This temporary file is created in a directory accessible to all users on the system. An unauthorized local user or process can exploit this behavior by placing a file lock on the temporary token file using the flock system call. This prevents MinKNOW from completing the token generation process. As a result, no valid local token is created, and the software is unable to execute commands on the sequencer. This leads to a denial-of-service (DoS) condition, blocking sequencing operations.

Tibbo AggreGate Network Manager before 6.40.05 exposes sensitive system information through an unauthenticated endpoint at /cwmp/happyaxis.jsp. The page discloses Java system properties, server path details, and version information to unauthorized users, resulting in information disclosure that could aid further compromise.

Tibbo AggreGate Network Manager < 6.40.05 contains an observable response discrepancy in its login functionality. Authentication failure messages differ based on whether a supplied username exists or not, allowing an unauthenticated remote attacker to infer valid account identifiers. This can facilitate user enumeration and increase the likelihood of targeted brute-force or credential-stuffing attacks.

OctoPrint-SpoolManager to wtyczka do zarządzania szpulami i ich metadanymi. W wersjach 1.8.0a2 i starszych z gałęzi testowej oraz 1.7.7 i starszych z gałęzi stabilnej, API wtyczki nie wymuszają poprawnie uwierzytelniania ani autoryzacji. Problem ten został naprawiony w wersjach 1.8.0a3 i 1.7.8.