CVE Vulnerability Catalog

W systemie zarządzania mieszkaniami itsourcecode w wersji 1.0 wykryto podatność. Problem dotyczy nieznanej funkcji w pliku /report/rented_info.php, gdzie manipulacja argumentem rsid prowadzi do wstrzyknięcia SQL.

Zidentyfikowano słabość w systemie zarządzania mieszkaniami itsourcecode w wersji 1.0. Manipulacja argumentem 'vid' w pliku /report/visitor_info.php może prowadzić do wstrzyknięcia SQL, co może być wykorzystane zdalnie.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 odkryto podatność, która dotyczy nieznanej części pliku /ajax.php?action=delete_plan. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 znaleziono lukę. Problem dotyczy nieznanej funkcjonalności pliku /ajax.php?action=save_loan_type, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL. Atak można przeprowadzić zdalnie.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 wykryto podatność. Manipulacja argumentem ID w pliku /ajax.php?action=save_plan prowadzi do wstrzykiwania SQL, co może być wykorzystane przez zdalnego atakującego.

W systemie zarządzania pożyczkami online Campcodes w wersji 1.0 wykryto podatność bezpieczeństwa. Manipulacja argumentem 'lastname' w pliku /ajax.php?action=save_borrower prowadzi do wstrzyknięcia SQL, co umożliwia zdalne wykorzystanie tej podatności.

Zidentyfikowano słabość w systemie zarządzania pożyczkami online Campcodes w wersji 1.0. Manipulacja argumentem loan_id w pliku /ajax.php?action=save_payment może prowadzić do wstrzyknięcia SQL.

W systemie Campcodes Online Water Billing System w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji pliku /addclient1.php. Manipulacja argumentem lname może prowadzić do wstrzyknięcia SQL.

Użytkownik niebędący głównym administratorem, posiadający prawa administratora do interfejsu webowego, ale bez uprawnień dostępu do powłoki, może wyświetlić konfigurację urządzenia, w tym hasło głównego administratora. Ta podatność umożliwia również użytkownikowi nadanie sobie dostępu do powłoki z uprawnieniami root.

A cross-site scripting (XSS) vulnerability exists in Nagios XI 2024R2. The vulnerability allows remote attackers to execute arbitrary JavaScript in the context of a logged-in user's session via a specially crafted URL. The issue resides in a web component responsible for rendering performance-related data.

Wtyczka Event List dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 2.0.4. Problem wynika z niewłaściwej walidacji uprawnień użytkownika przed aktualizacją jego profilu w funkcji el_update_profile().

In n8n-workflows (commit ee25413), the download_workflow function in api_server.py allows attackers to perform directory traversal.

Mitrastar GPT-2741GNAC-N2 devices provide SSH access to a restricted default shell. The "deviceinfo show file" command can be exploited to drop a root shell by supplying the argument " /bin/sh" (including quotes).

The configuration of Mosh-Pro on macOS, with the "RunAsNode" fuse enabled, allows a local attacker with unprivileged access to execute arbitrary code that inherits Mosh-Pro TCC permissions. Acquired resource access is limited to previously granted permissions, and accessing other resources prompts the user for approval in the name of Mosh-Pro, potentially disguising malicious intent. This issue was fixed in version 1.3.7.

Delta Electronics COMMGR posiada podatność na wstrzykiwanie kodu. Ta luka umożliwia atakującym wprowadzenie złośliwego kodu do aplikacji.

Delta Electronics COMMGR ma podatność na przepełnienie bufora opartego na stosie. Ta luka może prowadzić do nieautoryzowanego dostępu do systemu lub wykonania złośliwego kodu.

W systemie SourceCodester Human Resource Information System w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /Superadmin_Dashboard/process/editemployee_process.php. Manipulacja argumentem employee_file201 prowadzi do nieograniczonego przesyłania plików.

W systemie zarządzania zasobami ludzkimi SourceCodester w wersji 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /Admin_Dashboard/process/editemployee_process.php. Manipulacja argumentem employee_file201 umożliwia nieograniczone przesyłanie plików.

Klucz tajny JWT jest osadzony w backendzie egOS WebGUI i jest dostępny dla domyślnego użytkownika. Nieautoryzowany atakujący zdalny może generować ważne tokeny HS256 i omijać uwierzytelnianie oraz autoryzację z powodu użycia zakodowanego klucza kryptograficznego.