ECT Home Page Products - Reflected XSS

ECT Home Page Products WordPress plugin through 1.9 contains a reflected cross-site scripting caused by lack of sanitization and escaping of a parameter before outputting it in the page, letting attackers execute malicious scripts in the context of high privilege users such as admin, exploit...

Pheditor 2.0.1-2.0.3 - OS Command Injection

Pheditor 2.0.1 to - 2.0.4 contains an OS command injection caused by improper sanitization of the 'dir' POST parameter in the terminal action handler, letting authenticated users execute arbitrary OS commands with web server privileges. id: CVE-2026-48030 info: name: Pheditor 2.0.1-2.0.3 - OS...

iBuildApp <= 0.2.0 - Reflected Cross-Site Scripting

iBuildApp WordPress plugin through 0.2.0 contains a reflected cross-site scripting caused by unsanitized parameter output in the page, letting attackers execute malicious scripts in the context of high privilege users, exploit requires attacker to craft a malicious URL. id: CVE-2024-13326 info:...

CVE-2021-38163

CVE-2021-38163 CVE-2021-38163 - SAP Netveawer 用エクスプロイト SAP NetWeaver Visual Composer 7.0 RT バージョン - 7.30, 7.31, 7.40, 7.50 において、制限がなく、非管理ユーザーとして認証された攻撃者がネットワーク経由で悪意のあるファイルをアップロードし、その処理をトリガーすることができます。これにより、Java Server...

CVE-2025-8110

CVE-2025-8110 - Gogs 符号链接绕过 - 以 Gogs 进程用户身份任意写入文件 Gogs //contents/）。Gogs 会跟随符号链接，并以 Gogs 进程的权限将攻击者控制的字节写入链接目标。当 Gogs 以 root 身份运行时，这便是一次任意的 root 文件写入——例如，将 NOPASSWD 规则放入 /etc/sudoers.d/ 以实现本地权限提升。 由 Wiz Research 报告。 CVE： CVE-2025-8110 环境要求 python3 -m pip install requests pillow gogsregister.py（验证码...

CVE-2026-34975

CVE-2026-34975 — CRLF Email Header Injection in Plunk via raw MIME construction Severity : High CVSS 8.5 CWE : CWE-93 — Improper Neutralization of CRLF Sequences 'CRLF Injection' Affected : useplunk/plunk = 0.7.1 Fixed in : 0.8.0 Advisory : GHSA-2mvm-rg5v-7hfq NVD :...

CVE-2026-39842

CVE-2026-39842：OpenRemote 规则引擎中的表达式注入远程代码执行漏洞 摘要 OpenRemote 规则引擎中存在严重的远程代码执行漏洞，允许拥有 write:rules 角色的已认证用户在服务器上以 root 权限执行任意代码。 CVSS 评分 ：10.0（严重） CVSS 向量 ：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H 受影响版本 ：OpenRemote = 1.22.0 是否需要认证 ：是（write:rules 角色，可为非超级用户） 利用方式 ：以 root...

CVE-2026-1953

CVE-2026-1953 | 存储型 XSS — Nukegraphic CMS v3.1.2 概述 Nukegraphic CMS v3.1.2 中存在一个存储型跨站脚本（XSS）漏洞。 该问题允许已认证用户在个人资料名称字段中注入恶意 JavaScript，该内容会存储在后端数据库中，并在 CMS 中渲染该名称的任何位置自动执行。 产品： Nukegraphic CMS 版本： v3.1.2 漏洞类型： 存储型 XSS（CWE-79） CVSS v3.1： 8.1（高危） 攻击向量： AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N 发现者： Carlos...

CVE-2026-30082

IngEstate Server 软件包列表页面编辑功能中的存储型跨站脚本（XSS）漏洞 受影响版本：IngEstate Server - 11.14.0 受影响功能 受影响 API：PUT /emgui/rest/appDatasheet//?full=true HTTP/1.1 PoC 要利用此存储型跨站脚本（XSS）漏洞，已认证用户必须首先通过仪表盘访问软件包列表页面。编辑功能与 API 端点 /emgui/rest/appDatasheet/ 交互。攻击者随后可将 XSS 载荷注入“关于应用程序”、“新增内容”或“发布说明”参数中。一旦注入成功，恶意 JavaScript...

CVE-2024-22514-Remote-Code-Execution

CVE-2024-22514: Agent DVRにおけるリモートコード実行 情報 説明 iSpyConnect.com Agent DVR...

CVE-2025-67730

CVE-2025-67730 – 保存型クロスサイトスクリプティング XSS 概要 CVE ID: CVE-2025-67730 脆弱性タイプ: 保存型クロスサイトスクリプティング XSS 深刻度: 中～高 状況依存 この脆弱性により、認証済みユーザーがJob 、Course 、Batch フォームの説明フィールド に悪意のあるHTMLおよびJavaScriptを注入できる可能性がありました。注入されたペイロードは、その後影響を受けたJob、Course、Batchを閲覧したすべてのユーザーのブラウザで自動的に実行されます。 影響を受けるコンポーネント Jobの説明フィールド...

CVE-2023-49471

CVE-2023-49471 脆弱性タイプ Blind SSRF 影響を受ける製品とバージョン Bar assistant / -----------------------------8290129562507108753887567115 Content-Disposition: form-data; name="images0copyright" -----------------------------8290129562507108753887567115 Content-Disposition: form-data; name="images0sort" 1...

CVE-2023-46404

CVE-2023-46404 PCRS は、トロント大学で開発されたオンラインプログラミング演習のためのウェブアプリケーションです。 Bitbucket リポジトリ: https://bitbucket.org/utmandrew/pcrs/src/3.11/ 概要 PCRS のコード提出機能を持つ「Questions」ページと「Code editor」ページは、Python サンドボックスをエスケープすることによりリモートコード実行 RCE に対して脆弱です。 詳細 PCRS インスタンスでは、ジェネレータオブジェクトを使用してリモートコード実行が可能です。ジェネレータフレーム...

CVE-2024-48427

CVE-2024-48427 Descripción Una vulnerabilidad de inyección SQL en Sourcecodester Packers and Movers Management System v1.0 permite a usuarios remotos autenticados ejecutar comandos SQL arbitrarios a través del parámetro id en /mpms/admin/?page=services/manageservice&id Tipo de Vulnerabilidad...

sudowp-crowdsignal-forms

SudoWP Crowdsignal Forms これは、元のCrowdsignal FormsプラグインのSudoWPセキュリティフォークです。 !WARNING セキュリティ通知 : 元の「Crowdsignal Forms」プラグイン（バージョン = 1.7.2）には、重大な認証欠落の脆弱性（CVE-2025-69015） が存在し、認証済みユーザーが自分が所有していない投票を変更できてしまいます。このSudoWP版では、この脆弱性を修正しています。 インストール 1. 元のCrowdsignal Formsプラグインを無効化 します。 2...

CVE-2026-102109

A SQL injection vulnerability existed in Kiteworks Secure Data Forms, where a value derived from the authenticated user's stored account data was incorporated into a database query without proper sanitization. An authenticated user could potentially influence that value to inject SQL. Exploitatio...

CVE-2026-102134 Kiteworks Core Unprotected Alternate Channel

Kiteworks Core did not apply its gateway-level API security controls to every request authenticated through the platform's central authentication service. An authenticated user could reach REST API functionality over a request path on which those controls, including enforcement of signed-out and...

CVE-2025-65300

CVE-2025-65300 説明 CVE-2025-65300: Coohom SaaSプラットフォームにおける保存型クロスサイトスクリプティング（XSS）の脆弱性 公開日: 2025-10-28 最終更新: 2025-10-28 報告者: Phisit Pupiw ベンダー: Coohom CWE: CWE-79 – クロスサイトスクリプティング 概要 保存型クロスサイトスクリプティング（XSS）の脆弱性が、Coohom SaaSプラットフォームのAccount Settings → Profile →...

CVE-2025-68613

CVE-2025-68613 n8n は、オープンソースのワークフロー自動化プラットフォームです。0.211.0 以降、1.120.4、1.121.1、1.122.0 より前のバージョンには、ワークフロー式評価システムに深刻なリモートコード実行（RCE）の脆弱性が存在します。特定の条件下では、ワークフロー設定中に認証されたユーザーが提供した式が、基盤となるランタイムから十分に分離されていない実行コンテキストで評価される可能性があります。認証された攻撃者は、この動作を悪用して n8n...

CVE-2025-68613

CVE-2025-68613 — n8n ワークフロー自動化 式エンジン アイソレーション失敗 著者は、この研究に起因する誤用または損害について一切の責任を負いません 厳密に教育および防御目的でのみ提供されます 説明 このリポジトリは、ワークフロー自動化プラットフォーム n8n に影響を与える脆弱性 CVE-2025-68613 に関する、ラボグレードの分析と安全な Proof-of-Concept を含んでいます。 0.211.0 以降、1.120.4 より前のバージョン、および 1.121.0–1.121.1 は、式評価システム に重大な欠陥を含んでいます。...