Katalog podatności CVE

Podatność Stored Cross-Site Scripting (XSS) w komponencie _genai/_evals_visualization pakietu Google Cloud Vertex AI SDK (google-cloud-aiplatform) w wersjach od 1.98.0 do 1.130.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w środowisku Jupyter lub Colab ofiary poprzez wstrzyknięcie sekwencji ucieczki skryptu do wyników ewaluacji modelu lub danych JSON.

ADB Explorer to interfejs użytkownika dla ADB na systemie Windows. W wersjach 0.9.26020 i wcześniejszych występuje niezweryfikowany argument wiersza poleceń, który pozwala na rekurencyjne usuwanie dowolnych katalogów w systemie plików Windows.

openITCOCKPIT to narzędzie do monitorowania typu open source, które w wersjach 5.3.1 i poniżej zawiera niebezpieczną deserializację w implementacji pracownika Gearman. Funkcja pracownika, zarejestrowana jako oitc_gearman, wywołuje PHP's unserialize() na ładunkach zadań bez wymuszania ograniczeń klasowych lub weryfikacji pochodzenia danych.

W systemie SourceCodester Simple Responsive Tourism Website 1.0 odkryto lukę, która dotyczy nieznanej funkcjonalności pliku /classes/Master.php?f=register w komponencie rejestracji. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

W Spring Data Geode wykryto podatność typu zip-slip polegającą na przechodzeniu ścieżek w funkcji importowania migawek. Umożliwia ona atakującym zapisywanie plików poza zamierzonym katalogiem ekstrakcji. Podatność dotyczy wyłącznie systemu Windows.

OpenSourcePOS w wersji 3.4.1 zawiera podatność typu Local File Inclusion (LFI) w funkcji Sales.php::getInvoice(). Atakujący może odczytać dowolne pliki na serwerze WWW, manipulując konfiguracją typu faktury.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą parametrów selectgroup i gn na końcówce /?Function=Groups.

Podatność typu Cross Site Scripting w oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr funkcji.

W oprogramowaniu Global Facilities Management firmy Key Systems Inc w wersji 20230721a występuje problem, który pozwala zdalnemu atakującemu na uzyskanie poufnych informacji za pomocą parametru zapytania sid.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

W wersji 2.2.0.4 Owl opds występuje nieprawidłowe przypisanie uprawnień do krytycznego zasobu, co umożliwia manipulację plikami za pomocą odpowiednio skonstruowanego żądania sieciowego.

Router Wi-Fi jest podatny na ataki deautoryzacyjne z powodu braku ochrony ramek zarządzających, co pozwala na nadawanie sfałszowanych ramek deautoryzacji i rozłączenia bez autoryzacji lub szyfrowania. Atakujący może wykorzystać to do powodowania nieautoryzowanych zakłóceń oraz stworzenia warunków odmowy usługi.

Podstawowy PLC urządzenia może być zdalnie wpływany, bez odpowiednich zabezpieczeń lub uwierzytelnienia. To stwarza poważne zagrożenie dla integralności systemu.

Wbudowany interfejs webowy urządzenia nie obsługuje HTTPS/TLS do uwierzytelniania i wykorzystuje podstawowe uwierzytelnianie HTTP. Ruch jest kodowany, ale nie jest szyfrowany, co naraża dane uwierzytelniające użytkowników na pasywną intercepcję przez atakujących w tej samej sieci.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, dotycząca funkcji sub_44EFB4 w pliku /goform/formReleaseConnect w interfejsie zarządzania przez sieć. Manipulacja argumentem Isp_Name prowadzi do wstrzyknięcia poleceń systemowych.

Wykryto podatność w UTT HiPER 520 w wersji 1.7.7-160105, która dotyczy funkcji sub_44D264 w pliku /goform/formPdbUpConfig interfejsu zarządzania przez sieć. Manipulacja argumentem policyNames prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2026-27072 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce PixelYourSite. Problem ten dotyczy wersji od n/a do 11.2.0.1.

W podatności CVE-2026-24959 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w JoomSky JS Help Desk w wersjach od n/a do 3.0.1.

Podatność CVE-2026-24955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczkach Whizz. Umożliwia to atak typu Reflected XSS w wersjach wtyczek od n/a do 1.9.

Podatność CVE-2026-24950 dotyczy błędu w kontroli dostępu w wtyczce Authorsy, który pozwala na obejście autoryzacji poprzez wykorzystanie klucza kontrolowanego przez użytkownika. Problem ten występuje w wersjach od n/a do 1.0.6.