CVE Vulnerability Catalog

W routerach D-Link serii DSR występuje podatność na traversję ścieżek, która pozwala nieautoryzowanym zdalnym atakującym manipulować parametrami wejściowymi używanymi do rozwiązywania ścieżek plików lub katalogów. Skuteczne wykorzystanie tej podatności może umożliwić dostęp do plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia wrażliwych plików systemowych lub konfiguracyjnych.

SQL injection vulnerability in the fields of warehouse document filtering form in SIMPLE.ERP software allows logged-in user a malicious query injection. Potential exploitation is limited by the 20-character limit in form fields. Identified use case allows to delete tables with a name of maximum 6 characters. We weren't able to identify a way to exfiltrate data within query character limit. This issue affects SIMPLE.ERP in versions before [email protected].

Podatność CVE-2025-11151 w oprogramowaniu CityPLus firmy Beyaz Bilgisayar umożliwia nieautoryzowanym osobom dostęp do wrażliwych informacji systemowych oraz niepublikowanych stron internetowych. Problem dotyczy wersji przed V24.29500.1.0.

Zohocorp ManageEngine Applications Manager versions 176800 and below are vulnerable to information disclosure in File/Directory monitor.

Zohocorp ManageEngine ADManager Plus before version 8024 is vulnerable to authenticated command injection in the Custom Script component.

Zohocorp ManageEngine Analytics Plus versions 6171 and prior are vulnerable to authenticated SQL Injection via the key update api.

Wszystkie dane przesyłane między klientem monitorującym, konsolą a serwerem w WorkExaminer Professional są transmitowane w postaci niezaszyfrowanej. Umożliwia to atakującemu z dostępem do sieci odczytanie wrażliwych danych oraz ich modyfikację.

Nieautoryzowany atakujący z dostępem do portu TCP 12306 serwera WorkExaminer może wykorzystać brak serwerowych kontroli uwierzytelniania, aby ominąć ekran logowania w konsoli WorkExaminer Professional i uzyskać dostęp administracyjny do serwera. To umożliwia dostęp do wszystkich wrażliwych danych monitorujących, w tym zrzutów ekranu i naciśnięć klawiszy wszystkich użytkowników.

The WorkExaminer Professional server installation includes an FTP server listening on TCP port 12304 to receive client logs. An attacker with network access to this port can log in using weak hardcoded credentials, then modify or read data, log files, and gain remote code execution as NT Authority\SYSTEM on the server by exchanging accessible service binaries in the WorkExaminer installation directory (e.g., "C:\Program File (x86)\Work Examiner Professional Server").

Zohocorp ManageEngine EndPoint Central versions 11.4.2516.1 and prior are vulnerable to XML Injection.

Arbitrary file deletion vulnerability in the agent setup component of ZohoCorp ManageEngine Endpoint Central versions earlier than 11.4.2508.14, 11.4.2516.06, and 11.4.2518.01.

Podatność CVE-2025-10612 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w City Guide od giSoft Information Technologies, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach przed 1.4.45.

SolarWinds Observability Self-Hosted is susceptible to SQL injection that may display sensitive data using a low-level account. Requires authentication from a low-privilege account.

EasyFlow .NET i EasyFlow AiNet, opracowane przez Digiwin, mają lukę związaną z brakiem uwierzytelnienia, która pozwala nieautoryzowanym atakującym zdalnym na uzyskanie poświadczeń administratora bazy danych poprzez określoną funkcjonalność.

Wtyczka FormGent dla WordPressa w wersjach przed 1.0.4 jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych plików na serwerze.

The PageTriage extension in MediaWiki contains a Stored XSS vulnerability due to improper input neutralization during web page generation. The issue affects versions from master before 1.44.

The Wikistories extension in MediaWiki contains a Stored XSS vulnerability due to improper input neutralization during web page generation. The issue affects versions from master before 1.44.

The MediaWiki - WikiLove extension contains a stored XSS vulnerability due to improper input neutralization during web page generation. The vulnerability affects version 1.39 of the extension.

The Translate extension in MediaWiki (Wikimedia Foundation) has a vulnerability exposing sensitive information to unauthorized actors. The extension uses jobs to make edits to translation pages, causing CheckUser to log the wrong IP and User-Agent, making these edits unauditable via CheckUser. This affects versions from master before 1.39.

The Springboard Extension for MediaWiki contains a Command Injection vulnerability due to improper neutralization of special elements. The issue affects the master branch.