Katalog podatności CVE

W funkcji processRequest w Open TFTP Server MultiThreaded v1.7 występuje przepełnienie bufora na stercie, które pozwala atakującym na spowodowanie awarii usługi (DoS) za pomocą spreparowanego pakietu DATA.

Przepełnienie stosu w funkcji ZBarcode_Encode w wtyczce MBS DynaPDF wersji 21.3.1.1 firmy Monkeybread Software umożliwia atakującym spowodowanie odmowy usługi (DoS) poprzez odpowiednio przygotowane dane wejściowe.

CVE zostało odrzucone lub wycofane przez organizację numerującą. Identyfikator nie opisuje realnej podatności.

Aplikacja thesystem w wersji 1.0 zawiera podatność na atak typu SQL injection, która umożliwia atakującym ominięcie uwierzytelniania poprzez manipulację parametrem nazwy użytkownika. Atakujący mogą wstrzykiwać złośliwy kod SQL, co pozwala na nieautoryzowany dostęp do kont użytkowników.

TheSystem 1.0 zawiera podatność na wstrzykiwanie SQL, która umożliwia atakującym ominięcie uwierzytelniania poprzez manipulację parametrem 'server_name'. Atakujący mogą wstrzykiwać złośliwy kod SQL, aby uzyskać nieautoryzowany dostęp do rekordów bazy danych.

Usługa kodeka Realtek IIS w wersji 6.4.10041.133 zawiera lukę w postaci niecytowanej ścieżki usługi, co pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu. Atakujący mogą wykorzystać tę lukę do wstrzykiwania złośliwych plików wykonywalnych i eskalacji uprawnień w systemie.

Wondershare MobileGo w wersji 8.5.0 zawiera podatność na niebezpieczne uprawnienia plików, która pozwala lokalnym użytkownikom na modyfikację plików wykonywalnych w katalogu aplikacji. Atakujący mogą zastąpić oryginalny plik MobileGo.exe złośliwym plikiem wykonywalnym.

NextVPN w wersji 4.10 zawiera podatność na niebezpieczne uprawnienia plików, która pozwala lokalnym użytkownikom na modyfikację plików wykonywalnych z pełnymi prawami dostępu. Atakujący mogą zastąpić pliki wykonywalne systemu złośliwymi plikami, uzyskując uprawnienia SYSTEM lub Administratora poprzez nieautoryzowaną modyfikację plików.

Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.

Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.

CordysCRM w wersji 1.4.1 jest podatny na atak typu SQL Injection w interfejsie zapytania listy pracowników (/user/list) poprzez parametr departmentIds.

Commit 8e4d4020d w p2r3 Bareiron jest podatny na przepełnienie bufora, co umożliwia nieautoryzowanym zdalnym atakującym spowodowanie odmowy usługi poprzez wysłanie pakietu do serwera.

W commitcie p2r3 bareiron o identyfikatorze 8e4d4020d występuje błąd odczytu poza granicami, który umożliwia nieautoryzowanym zdalnym atakującym uzyskanie informacji o względnym wycieku poprzez pakiet wysłany do serwera.

W programie filosoft Comerc.32 Commercial Invoicing w wersji 16.0.0.3 występuje problem, który umożliwia lokalnemu atakującemu wykonanie dowolnego kodu za pomocą pliku comeinst.exe.

W podatności CVE-2025-54519 występuje problem z hijackowaniem DLL w Doc Nav, który może umożliwić lokalnemu atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

Niewłaściwa kontrola dostępu w interfejsie debugowania na chipie może umożliwić uprzywilejowanemu atakującemu włączenie interfejsu debugowania i potencjalnie naruszyć poufność lub integralność danych.

Pomylenie typów w AMD Secure Processor (ASP) może pozwolić atakującemu na przekazanie nieprawidłowego argumentu do External Global Memory Interconnect Trusted Agent (XGMI TA), co prowadzi do naruszenia bezpieczeństwa pamięci i potencjalnej utraty poufności, integralności lub dostępności.

W Infoblox NIOS w wersjach do 9.0.7 występuje podatność na niebezpieczną deserializację, która może prowadzić do zdalnego wykonania kodu.

W systemie Infoblox NIOS w wersjach do 9.0.7, użytkownik z wysokimi uprawnieniami może wywołać zapis dowolnego pliku za pomocą mechanizmu tworzenia konta. To stwarza możliwość nieautoryzowanego dostępu do systemu.

Moduł API FreePBX przed wersjami 17.0.5 i 16.0.17 jest podatny na eskalację uprawnień przez uwierzytelnionych użytkowników z dostępem do API REST/GraphQL. Atakujący może sfałszować ważny token JWT, uzyskując pełny dostęp do API, nawet jako użytkownik o niższych uprawnieniach.