Katalog podatności CVE

W komponencie wx Endpoint projektu zhayujie chatgpt-on-wechat CowAgent 2.1.0 wykryto brak uwierzytelnienia w funkcji verify_server pliku channel/wechatmp/common.py. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem wechatmp_token, a exploit jest publicznie dostępny.

W systemie SourceCodester Pizzafy E-Commerce System 1.0 odkryto podatność na iniekcję SQL. Problem występuje w pliku /admin/ajax.php?action=confirm_order, gdzie argument ID jest podatny na manipulację. Atak może być przeprowadzony zdalnie, a exploit został opublikowany publicznie.

W systemie Online Examination 1.0 wykryto podatność SQL Injection w funkcji tworzenia quizów. Atakujący może zdalnie manipulować argumentami name/total/right/wrong/time/tag/desc w pliku /update.php?q=addquiz, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.

W systemie Online Examination 1.0 od code-projects wykryto podatność na iniekcję SQL w pliku head.php. Poprzez manipulację argumentami uname lub password możliwe jest zdalne wykonanie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

W bibliotece bluebox do wersji 4.5.12 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez manipulację argumentem 'code'. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W systemie zarządzania szpitalem itsourcecode Hospital Management System 1.0 znaleziono podatność SQL Injection w pliku /patientorder.php. Nieznana funkcja tego pliku pozwala na manipulację argumentem editid, co umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został ujawniony publicznie.

W bibliotece zcaceres markdownify-mcp do wersji 1.1.0 wykryto podatność polegającą na generowaniu niewystarczająco losowych wartości w funkcji saveToTempFile pliku src/Markdownify.ts. Atak wymaga lokalnego dostępu i jest trudny do przeprowadzenia, ale exploit został już opublikowany.

W systemie Internship Management System 1.0 wykryto podatność SQL injection w pliku employer/details/change_password.php. Atakujący może zdalnie manipulować argumentem Current, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.

W systemie Internship Management System 1.0 wykryto podatność SQL injection w pliku employer/login.php. Atakujący może zdalnie manipulować argumentami email/password, co prowadzi do wstrzyknięcia SQL. Exploit został publicznie ujawniony.

W bibliotece zcaceres markdownify-mcp do wersji 1.1.0 wykryto podatność polegającą na możliwości podążania za dowiązaniami symbolicznymi (symlink following). Problem występuje w funkcji assertPathAllowed w pliku src/Markdownify.ts i może być wykorzystany wyłącznie lokalnie.

W systemie SourceCodester Syllabus-Aligned Learning Management and Examination System 1.0 odkryto lukę bezpieczeństwa w pliku upload_files.php. Nieznana funkcja umożliwia nieograniczone przesyłanie plików, co może być wykorzystane zdalnie. Exploit został opublikowany i może być używany do ataków.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 znaleziono podatność SQL injection w funkcji save_client pliku classes/Users.php. Manipulacja argumentem Name w komponencie obsługi rejestracji umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został opublikowany i może być wykorzystany.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność SQL injection w funkcji cancel_order pliku classes/Master.php. Atakujący może zdalnie manipulować argumentem ID, co prowadzi do wstrzyknięcia SQL.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność w funkcji cancel_order w pliku classes/Master.php. Manipulacja tą funkcją może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0/5.7.26 wykryto podatność na iniekcję SQL. Problem dotyczy funkcji save_shop_type w pliku classes/Master.php, która nieprawidłowo przetwarza parametry POST. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto podatność polegającą na wstrzykiwaniu kodu. Problem występuje w funkcji update_settings_info w pliku classes/SystemSettings.php, gdzie argument content[] jest manipulowany. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie SourceCodester Multi-Vendor Online Grocery Management System 1.0 wykryto słabość w funkcji save_users pliku classes/Users.php, która prowadzi do nieprawidłowej autoryzacji. Podatność może być zdalnie wykorzystana, a exploit jest publicznie dostępny.

W systemie CodeAstro Apartment Visitor Management System 1.0 odkryto podatność SQL Injection w pliku /apartment-visitor/add-apartment.php. Atakujący może zdalnie manipulować argumentem apartmentno, co prowadzi do wstrzyknięcia kodu SQL. Exploit został opublikowany publicznie.

Podatność w bibliotece Crypt::DSA dla Perla przed wersją 1.22 powoduje, że generowane są niebezpieczne wartości nonce i klucza prywatnego DSA z powodu użycia tendencyjnego generatora liczb losowych. Atakujący, mając dostęp do kilku podpisów i klucza publicznego, może odzyskać klucz prywatny za pomocą ataku kratowego.

W systemie Online Hotel Management System 1.0 od itsourcecode wykryto podatność SQL injection w pliku /admin/login.php. Atakujący może zdalnie manipulować argumentem email, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.