CVE Vulnerability Catalog

There is a reflected cross-site scripting vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote authenticated attacker with administrative access to supply a crafted string which would execute arbitrary JavaScript code in the browser.

There is a stored Cross-site Scripting vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote, authenticated attacker to inject malicious a file with an embedded xss script which when loaded could potentially execute arbitrary JavaScript code in the victim’s browser. The privileges required to execute this attack are high. The attack could disclose a privileged token which may result in the attacker gaining full control of the Portal.

There is a reflected cross site scripting vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote authenticated attacker with administrative access to supply a crafted string which would execute arbitrary JavaScript code in the browser.

There is a reflected cross-site scripting vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote authenticated attacker with administrative access to supply a crafted string which would execute arbitrary JavaScript code in the browser.

There is a reflected cross-site scripting vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote authenticated attacker with administrative access to supply a crafted string which would execute arbitrary JavaScript code in the browser.

There is an unvalidated redirect vulnerability in Esri Portal for ArcGIS 11.4 and below that may allow a remote, unauthenticated attacker to craft a URL that could redirect a victim to an arbitrary website, simplifying phishing attacks.

Esri Portal for ArcGIS 11.4 and below has a reflected cross-site scripting (XSS) vulnerability. A remote authenticated attacker with administrative access can supply a crafted string that executes arbitrary JavaScript code in the browser.

W aplikacji MyCourts v3 występuje podatność typu stored cross-site scripting (XSS) w polu profilu numeru LTA. Atakujący może wprowadzić dowolny kod JavaScript do swojego profilu, który zostanie wykonany w przeglądarce każdego użytkownika go oglądającego, w tym administratorów.

VMware NSX zawiera podatność na enumerację nazw użytkowników. Nieautoryzowany złośliwy aktor może wykorzystać tę podatność do enumeracji ważnych nazw użytkowników, co może prowadzić do nieautoryzowanych prób dostępu.

VMware NSX zawiera podatność związaną z słabym mechanizmem odzyskiwania haseł. Nieautoryzowany złośliwy aktor może wykorzystać tę lukę do enumeracji prawidłowych nazw użytkowników, co potencjalnie umożliwia ataki typu brute-force.

IBM WebSphere Application Server 8.5 and 9.0 is vulnerable to a denial of service, caused by sending a specially-crafted request. A privileged user could exploit this vulnerability to cause the server to consume memory resources.

W podatności CVE-2025-57483 występuje odzwierciedlona podatność na ataki typu cross-site scripting (XSS) w widżecie czatu tawk.to w wersji 4. Umożliwia ona atakującym wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika poprzez wstrzyknięcie spreparowanego ładunku do podatnego parametru.

In the Payeer Android application version 2.5.0, an improper access control vulnerability exists in the PIN change authentication flow. A local attacker with root access can dynamically instrument the app to bypass the current PIN verification and directly modify the authentication PIN. This allows unauthorized users to change the PIN without knowing the original/current PIN.

A stored cross-site scripting (XSS) vulnerability was found in FairSketch RISE Ultimate Project Manager & CRM 3.9.4. An administrator can inject malicious JavaScript code when creating new folders via the file explorer in the admin dashboard.

VMware vCenter zawiera podatność na wstrzykiwanie nagłówków SMTP. Złośliwy użytkownik z nieadministracyjnymi uprawnieniami, który ma pozwolenie na tworzenie zadań zaplanowanych, może manipulować wiadomościami e-mail powiadamiającymi o tych zadaniach.

A mass assignment vulnerability exists in danny-avila/librechat, affecting all versions. This vulnerability allows attackers to manipulate sensitive fields by automatically binding user-provided data to internal object properties or database fields without proper filtering. As a result, any extra fields in the request body are included in agentData and passed to the database layer, allowing overwriting of any field in the schema, such as author, access_level, isCollaborative, and projectIds. Additionally, the Object.Prototype can be polluted due to the use of Object.assign with spread operators.

bash-git-prompt versions 2.6.1 through 2.7.1 insecurely uses the /tmp/git-index-private$$ file with a predictable name. The predictable filename may allow an attacker to interfere with data.

AT_NA2000 od Nanda Automation Technology ma podatność na atak typu denial-of-service. Urządzenie nie wymaga, aby numer sekwencyjny pakietów TCP RST dokładnie odpowiadał oczekiwanemu numerowi, co narusza RFC5961.

Openindiana, jądro SunOS 5.11, ma podatność na atak typu denial of service. Przetwarzając pakiety TCP z ustawionymi flagami RST lub SYN, Openindiana akceptuje szeroki zakres numerów sekwencyjnych, co narusza RFC5961.