CVE Vulnerability Catalog

Podatność CVE-2025-4294 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HotelRunner B2B, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji B2B przed 04.06.2025.

Podatność CVE-2025-4284 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Agentis firmy Rolantis Information Technologies, co prowadzi do możliwości ataków typu Reflected XSS oraz DOM-Based XSS. Problem ten dotyczy wersji Agentis przed 4.32.

W podatności CVE-2025-2301 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w oprogramowaniu Akbim do rejestracji na egzaminy online. Problem ten umożliwia wykorzystanie zaufanych identyfikatorów.

Podatność CVE-2025-5681 w oprogramowaniu Turtek Software Eyotek umożliwia obejście autoryzacji poprzez wykorzystanie kluczy kontrolowanych przez użytkownika. Problem ten dotyczy wersji Eyotek przed 23.06.2025.

W Mbed TLS w wersjach od 3.6.1 do 3.6.3 przed wersją 3.6.4 występuje niezgodność czasowa w usuwaniu paddingu szyfru blokowego, co pozwala atakującemu na odzyskanie tekstu jawnego, gdy używany jest tryb paddingu PKCS#7.

StudentManage v1.0 was found to contain a cross-site scripting (XSS) vulnerability in the Add A New Student module. This allows an attacker to inject malicious scripts into the page.

StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Course module. This allows an attacker to inject malicious scripts into the page.

MRCMS v3.1.2 was discovered to contain a cross-site scripting (XSS) vulnerability in the /admin/group/save.do component. An attacker can inject a malicious script that will be executed in the administrator's browser.

StudentManage v1.0 was discovered to contain a cross-site scripting (XSS) vulnerability in the Add A New Teacher module. This allows an attacker to inject malicious scripts into the web page.

An SSRF vulnerability in the TunnelServlet component of Agorum core open v11.9.2 and v11.10.1 allows attackers to forcefully initiate connections to arbitrary internal and external resources via a crafted request. This can lead to sensitive data exposure.

An incorrect access control vulnerability in the dynawebservice component of Agorum core open versions 11.9.2 and 11.10.1 allows unauthenticated attackers to access arbitrary files on the system.

Incorrect access control in Agorum core open versions 11.9.2 and 11.10.1 allows authenticated attackers to escalate privileges to Administrator.

An XML External Entity (XXE) vulnerability was discovered in Agorum core open versions 11.9.2 and 11.10.1 in the RSSReader endpoint. It allows attackers to access sensitive data by providing a crafted XML input.

StudentManage v1.0 was discovered to contain a Cross-Site Request Forgery (CSRF) vulnerability. This allows an attacker to perform unauthorized actions on behalf of an authenticated user.

Insecure permissions in Splashin iOS v2.0 allow unauthorized attackers to access location data for specific users.

Splashin iOS app version 2.0 fails to enforce server-side interval restrictions for location updates for free-tier users.

Podatność CVE-2024-13175 dotyczy oprogramowania Vidco Software VOC TESTER, które przed wersją 12.41.0 pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia wymuszone przeglądanie.

A Cross Site Scripting (XSS) vulnerability in Beakon Learning Management System (SCORM) version V.5.4.3 allows a remote attacker to inject malicious script via the URL parameter. This flaw can be exploited to steal sensitive information.

A vulnerability in a subset of REST APIs of Cisco Prime Infrastructure and Cisco Evolved Programmable Network Manager (EPNM) allows an authenticated, low-privileged attacker to perform a blind SQL injection attack. The issue is due to insufficient validation of user-supplied input.

A SQL injection vulnerability was discovered in SemCms v5.0 via the lgid parameter in SEMCMS_Products.php. An attacker can manipulate this parameter to execute unauthorized database queries.