CVE Vulnerability Catalog

An authenticated user can bypass PHP file type validation in FileUpload.php by uploading a specially crafted PHP file. This vulnerability affects AvantFAX version 3.3.7.

An information disclosure vulnerability exists in AvantFAX 3.3.7. Backups of sent/received faxes and database backups are stored with the current date as the filename and hosted on the web server without access controls.

A stored Cross-Site Scripting (XSS) vulnerability in AvantFAX 3.3.7 allows an authenticated low-privilege user to inject arbitrary JavaScript into their email address, which executes when an administrator views the admin dashboard.

Podatność w Saysis Starcities umożliwia dostęp do plików lub katalogów przez osoby zewnętrzne, co pozwala na zbieranie danych z ogólnodostępnych lokalizacji zasobów. Problem ten dotyczy wersji Starcities do 1.3.

Podatność CVE-2023-1198 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w aplikacji Saysis Starcities, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji Starcities do 1.3.

An arbitrary file upload vulnerability in Halo up to v1.6.1 allows attackers to execute arbitrary code via a crafted .md file.

An SSRF vulnerability in Jellyfin up to version 10.7.7 allows an attacker to send a crafted POST request to the /Repositories component, enabling access to network resources and sensitive information.

A cross-site scripting (XSS) vulnerability in the check_login function of SIPE s.r.l WI400 versions 8 through 11 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the f parameter.

Podatność CVE-2023-1091 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania poleceń systemowych poprzez SQL Injection w systemie Alpata Licensed Warehousing Automation System. Problem ten dotyczy wersji systemu do 2023.1.01.

A cross-site scripting (XSS) vulnerability in /kruxton/navbar.php of Best POS Management System 1.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the page parameter.

Best POS Management System 1.0 contains a SQL injection vulnerability via the month parameter at /kruxton/sales_report.php.

Best POS Management System 1.0 contains a SQL injection vulnerability via the id parameter at /kruxton/manage_user.php.

Best POS Management System 1.0 contains a SQL injection vulnerability via the id parameter at /billing/home.php.

Best POS Management System 1.0 contains a SQL injection vulnerability in the id parameter at /kruxton/receipt.php. An attacker can exploit this flaw to manipulate database queries.

W podatności CVE-2023-1251 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Akinsoft Wolvox. Problem dotyczy wersji Wolvox przed 8.02.03.

W repozytorium GitHub builderio/qwik przed wersją 0.21.0 występuje podatność na wstrzykiwanie kodu. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu.

An arbitrary file upload vulnerability in Poly Trio 8800 version 7.2.2.1094 allows attackers to upload arbitrary files via a crafted ringtone file. This can lead to remote code execution on the device.

W podatności CVE-2023-1267 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji PtteM Kart w wersjach przed 2.1.

Wtyczka Plus Addons dla Elementora w WordPressie jest podatna na eskalację uprawnień w wersjach do 4.1.9 (pro) oraz 2.0.6 (darmowej). Użytkownicy mogą ustawić domyślną rolę dla nowych użytkowników, co pozwala na przypisanie roli administratora przez osoby z niższymi uprawnieniami, takie jak współautorzy.