CVE Vulnerability Catalog

Podatność CVE-2025-40779 dotyczy procesu `kea-dhcp4`, który przerywa działanie w przypadku, gdy klient DHCPv4 wysyła żądanie z określonymi opcjami, a Kea nie znajduje odpowiedniej podsieci. Problem występuje tylko w przypadku unicastowych żądań kierowanych bezpośrednio do Kea, a nie przy wiadomościach rozgłoszeniowych.

A vulnerability in the Hyundai Navigation App STD5W.EUR.HMC.230516.afa908d allows an attacker to inject HTML payloads in the profile name field, which are then rendered.

Podatność CVE-2025-58218 dotyczy deserializacji niezaufanych danych w aplikacji Small Package Quotes – USPS Edition, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.3.9 włącznie.

W podatności CVE-2025-58217 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji GeroNikolov Instant Breaking News, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Instant Breaking News od n/a do 1.0 włącznie.

In FoxCMS 1.2.6, a reflected Cross Site Scripting (XSS) vulnerability was found in /index.php/plus. An attacker can inject malicious JavaScript code via a crafted HTTP request.

A remote code execution vulnerability in Coolify versions prior to v4.0.0-beta.420.7 allows authenticated users with low-level privileges to inject arbitrary shell commands via the Git Repository field during project creation, leading to full server compromise.

A remote code execution vulnerability in Coolify prior to v4.0.0-beta.420.6 allows authenticated low-privilege users to inject malicious Docker Compose directives during project creation, mounting the host filesystem and gaining full root access.

A stored XSS vulnerability in Coolify versions prior to v4.0.0-beta.420.6 allows an authenticated low-privileged user to inject malicious JavaScript into a project name. The payload executes in the admin's browser when attempting to delete the project or its associated resource.

Podatność w obsłudze połączeń Virtual Keyboard Video Monitor (vKVM) w Cisco Integrated Management Controller (IMC) może umożliwić nieautoryzowanemu, zdalnemu atakującemu przekierowanie użytkownika na złośliwą stronę internetową. Problem wynika z niewystarczającej weryfikacji punktów końcowych vKVM.

A vulnerability in the web-based management interface of Cisco UCS Manager Software could allow an authenticated, remote attacker to conduct a stored XSS attack. This is due to insufficient validation of user-supplied input. An attacker with Administrator or AAA Administrator role can inject malicious data to execute arbitrary script code.

Podatność w funkcji IS-IS oprogramowania Cisco NX-OS dla przełączników Cisco Nexus 3000 i 9000 w trybie samodzielnym może pozwolić nieautoryzowanemu atakującemu z sąsiedztwa na nieoczekiwane zrestartowanie procesu IS-IS, co może spowodować ponowne załadowanie urządzenia.

Wykryto podatność w TOTOLINK T10 w wersji 4.1.8cu.5241_B20210927, która dotyczy nieznanej funkcji pliku /formLoginAuth.htm. Manipulacja argumentem authCode z wartością 1 prowadzi do niewłaściwej autoryzacji.

GLPI, czyli Gestionnaire Libre de Parc Informatique, to darmowe oprogramowanie do zarządzania zasobami IT, które oferuje funkcje ITIL Service Desk, śledzenie licencji oraz audyt oprogramowania. W wersjach od 10.0.0 do przed 10.0.19, użytkownik połączony bez praw administracyjnych może zmienić kolejność wykonywania reguł. Problem ten został naprawiony w wersji 10.0.19.

A vulnerability was detected in Portabilis i-Educar up to 2.10 in the file /intranet/agenda.php. Manipulation of the cod_agenda argument results in SQL injection. The attack can be initiated remotely, and the exploit is publicly available. Upgrading to version 2.12 fixes this issue.

Zidentyfikowano słabość w systemie zarządzania płacami Campcodes w wersji 1.0. Problem dotyczy funkcji include w pliku /index.php, co prowadzi do możliwości włączenia plików. Atak można przeprowadzić zdalnie.

Zidentyfikowano podatność w systemie zarządzania apartamentami itsourcecode w wersji 1.0. Podatność ta dotyczy nieznanego kodu w pliku /visitor/addvisitor.php, co prowadzi do możliwości wstrzyknięcia SQL.

Wiele produktów i-フィルター zawiera problem z nieprawidłowymi domyślnymi uprawnieniami. W przypadku wykorzystania tej podatności, lokalny uwierzytelniony atakujący może zastąpić plik wykonywalny usługi na systemie, na którym działa produkt, co potencjalnie umożliwia wykonanie dowolnego kodu z uprawnieniami SYSTEM.

W instalatorach ScanSnap Manager w wersjach przed V6.5L61 występuje podatność związana z nieprawidłowym przypisaniem uprawnień. W przypadku wykorzystania tej podatności, uwierzytelniony lokalny atakujący może podnieść swoje uprawnienia i wykonać dowolne polecenie.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 wykryto podatność bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /branch/addbranch.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanego przetwarzania pliku /report/fair_info_all.php, co prowadzi do możliwości wstrzyknięcia SQL poprzez manipulację argumentem fid.