Katalog podatności CVE

W podatności CVE-2021-22291 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w urządzeniach ABB EIBPORT V3 KNX oraz EIBPORT V3 KNX GSM. Problem dotyczy wersji przed 3.9.2.

Podatność IDOR w Negotiator v3.15.2 od BBMRI-ERIC pozwala atakującemu na dostęp lub modyfikację nieautoryzowanych zasobów poprzez manipulację parametrem 'userID' w żądaniach do '/api/v3/users/<userID>'. Może to prowadzić do ujawnienia lub zmiany wrażliwych danych.

W systemie Biobanking and Biomolecular Resources Negotiator v3.15.2 (BBMRI-ERIC) występuje podatność na trwały Cross-Site Scripting (XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika podczas wysyłania żądania POST z parametrem text w '/api/v3/negotiations/<postUID>/posts'. Podatność ta może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież jego sesji.

W interfejsie zarządzania webowego odkryto podatność typu przejście ścieżki po stronie klienta z powodu braku walidacji parametru wejściowego. Użytkownik z ograniczonymi uprawnieniami może stworzyć złośliwy URL, który, jeśli zostanie odwiedzony przez ofiarę, prowadzi do ataku Cross-Site Scripting (XSS).

Zidentyfikowano podatność w systemie zamówień żywności Simple Food Ordering System w wersji 1.0. Manipulacja argumentem Category w pliku /product.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W systemie PHPGurukul Cyber Cafe Management System 1.0 występuje podatność na Cross-Site Scripting (XSS) w pliku /search.php, w komponencie POST Parameter Handler. Manipulacja argumentem searchdata może prowadzić do XSS. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.

W urządzeniu Tenda AC15 w wersji 15.03.05.18 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku /goform/saveAutoQos. Manipulacja argumentem enable prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne wykorzystanie tej podatności.

W podatności CVE-2025-0603 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co pozwala na ataki typu SQL Injection oraz Blind SQL Injection w systemie Callvision Healthcare Callvision Emergency Code przed wersją 3.0.

W urządzeniu Tenda AC15 w wersji 15.03.05.18 zidentyfikowano podatność przepełnienia bufora na stosie. Manipulacja argumentem newVersion w pliku /goform/setNotUpgrade umożliwia zdalny atak, a exploit jest publicznie dostępny.

W urządzeniu Tenda AC15 w wersji 15.03.05.18 wykryto podatność przepełnienia bufora na stosie. Manipulacja argumentem Password w pliku /goform/fast_setting_pppoe_set umożliwia zdalny atak, a exploit został publicznie ujawniony.

W urządzeniu Tenda AC15 w wersji 15.03.05.18 wykryto podatność przepełnienia bufora na stosie. Manipulacja argumentem ddnsEn w pliku /goform/SetDDNSCfg pozwala na zdalne przeprowadzenie ataku, a exploit został publicznie ujawniony.

W urządzeniu Tenda AC20 do wersji 16.03.08.12 występuje podatność przepełnienia bufora w funkcji sscanf w pliku /goform/fast_setting_wifi_set. Manipulacja argumentem timeZone umożliwia zdalny atak, a exploit został publicznie ujawniony.

W jakowenko double-take do wersji 1.13.1 wykryto podatność cross site scripting w funkcji app.use pliku api/src/app.js komponentu API. Manipulacja argumentem X-Ingress-Path umożliwia zdalne wykonanie ataku. Aktualizacja do wersji 1.13.2 rozwiązuje problem.

W systemie code-projects Simple Banking System 1.0 wykryto podatność na wstrzykiwanie SQL w nieznanej funkcji pliku /transfermoney.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka WP Reset dla WordPressa do wersji 2.05 włącznie jest podatna na ujawnienie wrażliwych informacji przez metodę WF_Licensing::log() gdy debugowanie jest włączone (domyślnie). Pozwala to nieuwierzytelnionym atakującym na wyodrębnienie kluczy licencyjnych i danych witryny.

Wtyczka Featured Image from URL (FIFU) dla WordPressa do wersji 5.2.7 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez pola niestandardowe obrazu wyróżnionego. Niedostateczna sanityzacja wejścia i escapingu pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor na wstrzykiwanie skryptów, które wykonają się przy odwiedzeniu strony. Częściowo naprawiono w wersji 5.2.2.

W systemie code-projects Simple Banking System 1.0 zidentyfikowano słabość w nieznanej funkcji pliku /removeuser.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W systemie code-projects Simple Banking System 1.0 odkryto wadę bezpieczeństwa w nieznanym przetwarzaniu pliku /createuser.php. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak może być zainicjowany zdalnie, a exploit został opublikowany.

W urządzeniu Tenda AC23 do wersji 16.03.07.52 występuje podatność przepełnienia bufora w funkcji sscanf w pliku /goform/SetStaticRouteCfg. Manipulacja argumentem list umożliwia zdalny atak, a exploit został publicznie ujawniony.

W urządzeniu UTT 1250GW do wersji v2v3.2.2-200710 występuje podatność przepełnienia bufora w funkcji strcpy w pliku /goform/aspChangeChannel. Manipulacja argumentem pvid umożliwia zdalny atak, a exploit został publicznie ujawniony.