Katalog podatności CVE

W urządzeniu Belkin F9K1015 w wersji 1.00.10 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/formSetWanStatic. Manipulacja argumentem m_wan_ipaddr umożliwia zdalne wykonanie poleceń. Exploit został publicznie ujawniony.

Wykryto podatność w urządzeniu Belkin F9K1015 w wersji 1.00.10, która dotyczy nieznanego przetwarzania pliku /goform/formSetLanguage. Manipulacja argumentem webpage prowadzi do przepełnienia bufora, co może być zdalnie wykorzystane przez atakującego.

Wykryto podatność w urządzeniu Belkin F9K1015 w wersji 1.00.10. Problem dotyczy nieznanego kodu w pliku /goform/formPPTPSetup, gdzie manipulacja argumentem pptpUserName prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w urządzeniu Belkin F9K1015 w wersji 1.00.10. Problem dotyczy nieznanej części pliku /goform/formPPPoESetup, gdzie manipulacja argumentem pppUserName prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w urządzeniu Belkin F9K1015 w wersji 1.00.10. Problem dotyczy nieznanej funkcji w pliku /goform/formL2TPSetup, gdzie manipulacja argumentem L2TPUserName prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w urządzeniu Belkin F9K1015 w wersji 1.00.10. Problem dotyczy nieznanej funkcji w pliku /goform/formConnectionSetting, gdzie manipulacja argumentem max_Conn prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W urządzeniu Belkin F9K1015 w wersji 1.00.10 wykryto podatność na wstrzykiwanie poleceń w pliku /goform/formBSSetSitesurvey. Manipulacja argumentem wan_ipaddr umożliwia zdalne wykonanie poleceń. Exploit jest publicznie dostępny.

W systemie ixmaps website2017 (do wersji 0c71cffa0162186bc057a76766bc97e9f5a3a2d0) występuje podatność XSS w pliku /map.php, w komponencie obsługi żądań HTTP GET. Manipulacja argumentem trid prowadzi do cross-site scripting.

W allegroai/clearml w wersji v2.0.1 występuje podatność na path traversal z powodu nieprawidłowego obsługiwania dowiązań symbolicznych i twardych w funkcji `safe_extract`. Może to prowadzić do zapisu dowolnych plików poza zamierzonym katalogiem, potencjalnie umożliwiając zdalne wykonanie kodu.

W CicadasCMS (do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab) wykryto podatność w funkcji Save w pliku TemplateFileServiceImpl.java, w komponencie zarządzania szablonami. Podatność typu cross-site scripting (XSS) pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

Zidentyfikowano podatność w samanhappy MCPHub do wersji 0.9.10, która dotyczy funkcji handleSseConnection w pliku src/services/sseService.ts. Manipulacja tą funkcją prowadzi do niewłaściwej autoryzacji.

W samanhappy MCPHub do wersji 0.9.10 występuje podatność na server-side request forgery (SSRF) w pliku src/controllers/serverController.ts, komponencie MCPRouter Service, poprzez manipulację argumentem baseUrl. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W MCPHub do wersji 0.9.10 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku src/controllers/serverController.ts. Manipulacja argumentami command/args umożliwia zdalne wykonanie kodu. Exploit został opublikowany i może być wykorzystany.

W systemie Zytec Dalian Zhuoyun Technology Central Authentication Service 3 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /index.php/auth/Ops/git w komponencie HTTP Header Handler. Manipulacja argumentem Authorization prowadzi do wykorzystania twardo zakodowanego hasła.

W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji komponentu Course Handler. Manipulacja argumentem Description może prowadzić do cross-site scripting (XSS). Atak może być wykonany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

Podatność w Frappe LMS 2.34.x/2.35.0 dotyczy niekompletnej poprawki CVE-2025-55006. Manipulacja nieznaną funkcją prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Frappe LMS 2.35.0 wykryto podatność w nieznanej funkcji pliku /files/ komponentu Assignment Picture Handler. Manipulacja powoduje bezpośrednie żądanie, które może być zainicjowane zdalnie. Złożoność ataku jest wysoka, a wykorzystanie uznawane za trudne, jednak exploit został publicznie ujawniony i może być użyty.

Wykryto podatność w oprogramowaniu Axosoft Scrum and Bug Tracking 22.1.1.11545. Dotyczy ona nieznanego przetwarzania w komponencie Add Work Item Page, gdzie manipulacja argumentem Title prowadzi do wstrzyknięcia CSV. Atak może być przeprowadzony zdalnie, a exploit jest już publiczny.

W systemie AllStarLink Supermon do wersji 6.2 wykryto podatność na cross-site scripting w komponencie AllMon2. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Produkt nie jest już wspierany przez producenta.