CVE Vulnerability Catalog

In the endpoints "/cgi-bin/CliniNET.prd/utils/usrlogstat_simple.pl", "/cgi-bin/CliniNET.prd/utils/usrlogstat.pl", "/cgi-bin/CliniNET.prd/utils/userlogstat2.pl", and "/cgi-bin/CliniNET.prd/utils/dblogstat.pl", the parameters are not sufficiently normalized, which enables code injection.

The vulnerability enables an attacker to fully bypass authentication in CGM CLININET and gain access to any active user account by supplying only the username, without requiring a password or any other credentials. Obtaining a session ID is sufficient for session takeover and grants access to the system with the privileges of the targeted user.

A critical SQL Injection vulnerability has been identified in the authentication module of the system. An unauthenticated, remote attacker can exploit this flaw by sending specially crafted SQL queries through the login interface.

U-Office Force opracowane przez e-Excellence zawiera podatność na niebezpieczną deserializację, która umożliwia nieautoryzowanym zdalnym atakującym wykonanie dowolnego kodu na serwerze poprzez wysyłanie złośliwie skonstruowanej zawartości serializowanej.

Agent logowania Windows IDExpert opracowany przez Changing zawiera podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym zdalnym atakującym na wymuszenie pobrania dowolnych plików DLL z zdalnego źródła i ich wykonanie.

Agent logowania Windows IDExpert opracowany przez Changing zawiera podatność na zdalne wykonanie kodu, która pozwala nieautoryzowanym zdalnym atakującym na wymuszenie pobrania i wykonania dowolnych plików wykonywalnych z zdalnego źródła.

openDCIM version 23.04, through commit 4467e9c4, contains an OS command injection vulnerability in report_network_map.php. The application retrieves the 'dot' configuration parameter from the database and passes it directly to exec() without validation or sanitization.

WeGIA to menedżer stron internetowych dla instytucji charytatywnych. Przed wersją 3.6.5, niebezpieczne użycie funkcji `extract()` na superglobalnej tablicy `$_REQUEST` pozwalało nieautoryzowanemu atakującemu na nadpisanie lokalnych zmiennych w wielu skryptach PHP.

WeGIA to menedżer internetowy dla instytucji charytatywnych. Przed wersją 3.6.5 występowała krytyczna podatność na zdalne wykonanie kodu (RCE) w funkcjonalności przywracania bazy danych aplikacji WeGIA, umożliwiająca atakującemu z dostępem administracyjnym wykonanie dowolnych poleceń systemowych na serwerze.

WeGIA to menedżer internetowy dla instytucji charytatywnych. W wersjach przed 3.6.5 skrypt w adicionar_tipo_docs_atendido.php nie przechodzi przez centralny kontroler projektu i nie ma własnych mechanizmów uwierzytelniania oraz kontroli uprawnień, co umożliwia złośliwym użytkownikom dostęp do funkcji zastrzeżonych dla pracowników.

Vikunja to platforma do zarządzania zadaniami, która ma podatność w mechanizmie resetowania haseł w wersjach przed 2.1.0. Występuje błąd logiki biznesowej, który pozwala na nieograniczone ponowne użycie tokenów resetujących hasło.

Biblioteka pillow_heif, używana do pracy z obrazami HEIF, zawiera błąd przepełnienia całkowitego w walidacji bufora, który pozwala atakującemu na ominięcie kontroli granic poprzez podanie dużych wymiarów obrazu. Może to prowadzić do ujawnienia informacji lub awarii procesu.

A vulnerability in @fastify/middie versions < 9.2.0 can result in authentication/authorization bypass when using path-scoped middleware. When Fastify router normalization options are enabled, crafted request paths may bypass middleware checks.

Oprogramowanie układowe SODOLA SL902-SWTGW124AS w wersjach do 200.1.20 zawiera słabą podatność na generowanie identyfikatorów sesji, co pozwala atakującym na fałszowanie uwierzytelnionych sesji poprzez obliczanie przewidywalnych ciasteczek opartych na MD5. Atakujący, którzy znają lub zgadują ważne dane logowania, mogą obliczyć identyfikator sesji offline i ominąć proces uwierzytelniania.

Oprogramowanie układowe SODOLA SL902-SWTGW124AS w wersjach do 200.1.20 zawiera podatność na domyślne dane uwierzytelniające, która umożliwia zdalnym atakującym uzyskanie dostępu administracyjnego do interfejsu zarządzania. Atakujący mogą uwierzytelnić się za pomocą wbudowanych domyślnych danych bez wymogu zmiany hasła, co pozwala na pełną kontrolę administracyjną nad urządzeniem.

A NestJS application using @nestjs/platform-fastify may allow bypass of authentication/authorization middleware when Fastify path-normalization options are enabled. This vulnerability affects NestJS version 11.1.13.

Podatność CVE-2026-2750 dotyczy niewłaściwej walidacji danych wejściowych w module Centreon Open Tickets na Central Server w systemie Linux. Problem ten dotyczy wersji Centreon Open Tickets przed 25.10, 24.10 oraz 24.04.

Podatność w module Centreon Open Tickets na Centralnym Serwerze w systemie Linux. Problem dotyczy wersji przed 25.10.3, 24.10.8 oraz 24.04.7.

Pro3W CMS is vulnerable to SQL injection attacks. Improper neutralization of input provided into a login form allows an unauthenticated attacker to bypass authentication and gain administrative privileges. This issue was identified in version 1.2.0. Due to lack of response from the vendor, exact version range could not be determined, but the vulnerability should be eliminated in versions released in January 2026 and later.

W podatności CVE-2025-11252 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Windesk.Fm firmy Signum Technology Promotion and Training Inc. Problem dotyczy wersji przed 2.3.4.