CVE Vulnerability Catalog

W podatności CVE-2025-22290 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji LTL Freight Quotes – FreightQuote Edition w wersjach od n/a do 2.3.11.

W podatności CVE-2025-22286 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji LTL Freight Quotes – Worldwide Express Edition w wersjach od n/a do 5.0.21. Problem ten pozwala na refleksyjne XSS.

W podatności CVE-2025-22284 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji LTL Freight Quotes – Unishippers Edition od n/a do 2.5.8.

Podatność CVE-2024-44044 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w modułach Oshine, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji modułów Oshine od n/a do poniżej 3.3.8.

Wykryto podatność w Kong Insomnia do wersji 10.3.0, sklasyfikowaną jako krytyczną. Problem dotyczy nieznanego przetwarzania w bibliotece profapi.dll, co prowadzi do niezaufanej ścieżki wyszukiwania.

W bibliotece GNU elfutils w wersji 0.192 zidentyfikowano krytyczną podatność, która dotyczy funkcji __libdw_thread_tail w pliku libdw_alloc.c komponentu eu-readelf. Manipulacja argumentem w prowadzi do uszkodzenia pamięci.

Wykryto krytyczną podatność w NUUO Camera do wersji 20250203, która dotyczy funkcji print_file w pliku /handle_config.php. Manipulacja argumentem log prowadzi do wstrzyknięcia poleceń, co może być wykorzystane przez atakującego zdalnie.

W pliku DataSourceResource.java w interfejsie API SpagoBI w serwerze Knowage przed wersją 8.1.30 nie jest zapewnione, że ciąg 'java:comp/env/jdbc/' występuje na początku nazwy JNDI. Może to prowadzić do nieautoryzowanego dostępu do zasobów danych.

Wersje pakietu jsonpath-plus przed 10.3.0 są podatne na zdalne wykonanie kodu (RCE) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może wykonać dowolny kod na systemie, wykorzystując niebezpieczne domyślne ustawienie trybu eval='safe'.

W systemie Brocade Fabric OS przed wersją 9.2.0, jeśli ustawienia konfiguracyjne nie są skonfigurowane do szyfrowania haseł SNMP, pola privsecret / authsecret mogą być ujawnione w postaci niezaszyfrowanej. Ujawnione hasła mogą być widoczne w zrzutach konfiguracji lub wsparcia, jeśli szyfrowanie haseł nie jest włączone.

Implementacja protokołu Simple Network Management Protocol (SNMP) w przełączniku Brocade 6547 (FC5022) umożliwia wewnętrzne wywołania skryptów do system.sh z poziomu binarnego SNMP. Uwierzytelniony atakujący może przeprowadzić wstrzyknięcie poleceń lub parametrów w operacjach SNMP, co może pozwolić mu na wydawanie poleceń jako Root.

Podatność umożliwia zdalnemu atakującemu z niskimi uprawnieniami wykonanie dowolnych poleceń powłoki poprzez wykorzystanie funkcji niższego poziomu do interakcji z urządzeniem.

Podatność pozwala zdalnemu atakującemu o niskich uprawnieniach na uruchamianie dowolnych poleceń powłoki poprzez manipulację plikiem firmware i przesłanie go do urządzenia.

Podatność związana z użyciem twardo zakodowanych poświadczeń w urządzeniu GW1500‑XS firmy GoodWe Technologies Co., Ltd. umożliwia osobom znajdującym się w fizycznej bliskości urządzenia pełny dostęp do interfejsu webowego inwertera przez Wi-Fi. Problem dotyczy wersji GW1500‑XS: 1.1.2.1.

Problem w Orbe ONetView Roeador Onet-1200 Orbe 1680210096 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez zmianę odpowiedzi serwera z kodu statusu 500 na kod statusu 200.

Podatność na niebezpieczne uprawnienia w Alvaria, Inc Unified IP Unified Director przed wersją 7.2SP2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametry source i filename w komponencie ProcessUploadFromURL.jsp.

A stored cross-site scripting (XSS) vulnerability exists in the management interface of WatchGuard Firebox appliances via the Blocked Sites list. An authenticated remote attacker with administrator privileges could exploit this vulnerability to execute arbitrary JavaScript code in the Firebox management interface of another management user.

A stored XSS vulnerability exists in the management interface of WatchGuard Firebox appliances via the spamBlocker module. An authenticated remote attacker with administrator privileges could execute arbitrary JavaScript code in the management interface of another user.

An Improper Input Validation vulnerability in WatchGuard Fireware OS allows an attacker with network access to manipulate the HTTP Host header in requests to the Web UI. This could redirect users to malicious websites, poison the web cache, or inject malicious JavaScript into responses.

Podatność w aplikacji mobilnej HGS firmy PTT Inc. umożliwia manipulację zmiennymi kontrolowanymi przez użytkownika. Dotyczy wersji przed 6.5.0.