CVE Vulnerability Catalog

Tarkov Data Manager to narzędzie do zarządzania danymi przedmiotów w grze Tarkov. Przed 2 stycznia 2025 roku istniała podatność na obejście uwierzytelniania w punkcie logowania, która pozwalała nieautoryzowanym użytkownikom uzyskać pełny dostęp administracyjny do panelu zarządzania Tarkov Data Manager.

terminal-controller-mcp 0.1.7 has a command injection vulnerability in the execute_command function, allowing attackers to execute arbitrary commands via crafted input.

The Undertow HTTP server library used in WildFly, JBoss EAP, and other Java applications does not properly validate the Host header, allowing malicious requests to be processed.

An attacker with access to the internal network can cause a denial of service by making two concurrent connections through the Telnet service.

Massive sending of ARP requests causes a denial of service on one board of the charger that controls EV interfaces. Since the board must operate correctly for the charger to function, the attack can disable the charger.

Podatność na deserializację niezaufanych danych w DZS Video Gallery umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.37.

W podatności CVE-2025-32303 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Mojoomla WPCHURCH. Problem ten dotyczy wersji WPCHURCH od n/a do 2.7.0.

OpenFlagr versions prior to and including 1.1.18 contain an authentication bypass vulnerability in the HTTP middleware. Due to improper handling of path normalization in the whitelist logic, crafted requests can bypass authentication and access protected API endpoints without valid credentials.

The Uniffle HTTP client is configured to trust all SSL certificates and disables hostname verification by default. This insecure configuration exposes REST API communication to Man-in-the-Middle (MITM) attacks.

Wtyczka Optional Email dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.3.11 włącznie. Problem wynika z braku ograniczenia filtra 'random_password' do kontekstu rejestracji, co pozwala na wpływanie na generację kluczy resetowania haseł.

Wykryto podatność w urządzeniu TRENDnet TEW-713RE w wersji 1.02, która pozwala na zdalne wstrzyknięcie poleceń systemowych poprzez manipulację argumentem SZCMD w pliku /goformX/formFSrvX. Produkt został wycofany z rynku i nie jest już wspierany przez producenta.

Podatność typu 'Nieograniczony upload pliku z niebezpiecznym typem' w motywach WordPress Themify umożliwia przesyłanie złośliwego skryptu (web shell) na serwer. Dotyczy to kilku motywów Themify, w tym Themify Sidepane, Themify Newsy i innych, w wersjach do określonych limitów.

wolfSSH's key exchange state machine can be manipulated to leak the client's password in the clear, trick the client to send a bogus signature, or skip user authentication. This affects client applications with wolfSSH version 1.4.21 and earlier.

Blue Access Cobalt v02.000.195 suffers from an authentication bypass vulnerability, which allows an attacker to selectively proxy requests in order to operate functionality on the web application without the need to authenticate with legitimate credentials.

W podatności CVE-2025-39477 występuje brak autoryzacji w Sfwebservice InWave Jobs, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji InWave Jobs od n/a do 3.5.8.

NJHYST HY511 POE core (before 2.1) and plugins (before 0.1) have insufficient cookie verification, allowing an attacker to directly download the core configuration file without logging in. By reading the username and self-decrypted MD5 password, the attacker can log in to the backend.

H3C M102G (HM1A0V200R010) and BA1500L (SWBA1A0V100R006) have a misconfiguration in vsftpd, causing all files uploaded anonymously via FTP to be owned by root. Remote attackers can gain root-level control over the devices.

Arteco Web Client DVR/NVR zawiera podatność na przejęcie sesji z powodu niewystarczającej złożoności identyfikatora sesji, co pozwala zdalnym atakującym na ominięcie uwierzytelnienia. Atakujący mogą przeprowadzić atak brute force na identyfikatory sesji w określonym zakresie numerycznym, aby uzyskać dostęp do ważnych sesji i strumieni na żywo z kamer bez autoryzacji.

Sony BRAVIA Digital Signage 1.7.8 contains an insecure direct object reference vulnerability that allows attackers to bypass authorization controls. Attackers can access hidden system resources like '/#/content-creation' by manipulating client-side access restrictions.

Plexus anblick Digital Signage Management w wersji 3.1.13 zawiera podatność na otwarte przekierowanie w skrypcie 'PantallaLogin', co pozwala atakującym na manipulację parametrem GET 'pagina'. Atakujący mogą tworzyć złośliwe linki, które przekierowują użytkowników na dowolne strony internetowe.