CVE Vulnerability Catalog

A ReDoS vulnerability was discovered in the Hugging Face Transformers library in the normalize_numbers() method of the EnglishNormalizer class. It affects versions up to 4.52.4 and is fixed in 4.53.0. Crafted input with long digit sequences can cause excessive CPU consumption.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto lukę. Problem dotyczy nieznanej funkcji w pliku /admin/readenq.php, gdzie manipulacja argumentem delid może prowadzić do wstrzyknięcia SQL.

W oprogramowaniu SourceCodester Pet Grooming Management Software w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem ID w pliku /admin/edit_role.php może prowadzić do ataku typu SQL injection, który może być przeprowadzony zdalnie.

Wykryto podatność w urządzeniu Mercury KM08-708H GiGA WiFi Wave2 w wersji 1.1.14, która dotyczy nieznanej funkcji komponentu HTTP Header Handler. Manipulacja argumentem Host prowadzi do przepełnienia bufora na stosie.

W One Identity OneLogin przed wersją 2025.3.0, żądanie zwraca tajny klucz klienta OIDC za pomocą API GET Apps v2, mimo że ten klucz powinien być zwracany tylko podczas pierwszego tworzenia aplikacji.

A vulnerability was determined in codesiddhant Jasmin Ransomware up to 1.0.1. This vulnerability affects unknown code of the file /handshake.php. This manipulation of the argument machine_name/computer_user/os/date/time/ip/location/systemid/password causes sql injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

W urządzeniu Mercury KM08-708H GiGA WiFi Wave2 1.1 zidentyfikowano podatność, która dotyczy funkcji sub_450B2C w pliku /goform/mcr_setSysAdm. Manipulacja argumentem ChgUserId prowadzi do przepełnienia bufora, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania biznesem Shenzhen Sixun 7/11 odkryto lukę bezpieczeństwa, która dotyczy nieznanej części pliku /Adm/OperatorStop. Manipulacja tym plikiem prowadzi do niewłaściwej autoryzacji, co może być wykorzystane przez atakującego zdalnie.

W systemie eCharge Hardy Barth Salia PLCC do wersji 2.3.81 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanego przetwarzania pliku /api.php, co prowadzi do nieograniczonego przesyłania plików.

Wykryto podatność w urządzeniu Wavlink WL-WN578W2 221110, która dotyczy funkcji sub_404DBC w pliku /cgi-bin/wireless.cgi. Manipulacja argumentem macAddr prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

W urządzeniu Wavlink WL-WN578W2 221110 wykryto podatność, która dotyczy funkcji sub_404850 w pliku /cgi-bin/wireless.cgi. Manipulacja argumentem delete_list prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wtyczka Archiver od The Hack Repair Guy dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji prepare_items we wszystkich wersjach do 2.0.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej usuwanie dowolnych plików na serwerze.

W urządzeniu Wavlink WL-WN578W2 221110 zidentyfikowano podatność, która dotyczy funkcji sub_401C5C w pliku firewall.cgi. Manipulacja argumentami pingFrmWANFilterEnabled/blockSynFloodEnabled/blockPortScanEnabled/remoteManagementEnabled prowadzi do możliwości wstrzyknięcia poleceń.

W urządzeniu Wavlink WL-WN578W2 221110 zidentyfikowano podatność w funkcji sub_409184 w pliku /wizard_rep.shtml. Manipulacja argumentem sel_EncrypTyp prowadzi do wstrzyknięcia poleceń, co może być przeprowadzone zdalnie.

In Flowise version 3.0.5 and earlier, the forgot-password endpoint returns sensitive information including a valid password reset tempToken without authentication or verification. This enables any attacker to generate a reset token for arbitrary users and directly reset their password, leading to complete account takeover. The vulnerability affects both cloud and self-hosted deployments.

A flaw in Wavlink WL-WN578W2 (version 221110) in the file /live_online.shtml leads to information disclosure. The attack can be executed remotely and the exploit has been published.

An issue was discovered in AXIS BANK LIMITED Axis Mobile App 9.9 that allows attackers to obtain sensitive information without a UPI PIN, such as account information, balances, transaction history, and unspecified other information. The supplier claims this is an intended feature and does not reveal much sensitive data.

W urządzeniu H3C Magic M Model M2V100R006 występuje problem, który umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez wykorzystanie domyślnego hasła.

W urządzeniu H3C R365V300R004 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą domyślnego hasła. Producent twierdzi, że jego produkty wymuszają lub wyraźnie zachęcają użytkowników do zmiany początkowych danych uwierzytelniających przy pierwszym użyciu.

File upload vulnerability in SueamCMS v.0.1.2 allows a remote attacker to execute arbitrary code due to lack of input filtering.