Database CVE
Archivio delle vulnerabilità note (CVE) con punteggio CVSS, gravità, prodotti e vendor coinvolti. Filtra per anno e severità, collegato ai nostri articoli.
- CVE-2023-43000Alta8.8
A use-after-free issue was addressed with improved memory management. This issue is fixed in macOS Ventura 13.5, iOS 16.6 and iPadOS 16.6, Safari 16.6, iOS 15.8.7 and iPadOS 15.8.7. Processing maliciously crafted web content may lead to memory corruption.
- CVE-2025-21079Alta7.1
Validazione impropria dell'input in Samsung Members prima della versione 5.5.01.3 consente ad attaccanti remoti di connettersi a un URL arbitrario e avviare un'attività arbitraria con i privilegi di Samsung Members. È richiesta l'interazione dell'utente per attivare questa vulnerabilità.
- CVE-2025-11953Critica9.8
The Metro Development Server, which is opened by the React Native Community CLI, binds to external interfaces by default. The server exposes an endpoint that is vulnerable to OS command injection. This allows unauthenticated network attackers to send a POST request to the server and run arbitrary executables. On Windows, the attackers can also execute arbitrary shell commands with fully controlled arguments.
- CVE-2025-61757Critica9.8
Vulnerability in the Identity Manager product of Oracle Fusion Middleware (component: REST WebServices). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Identity Manager. Successful attacks of this vulnerability can result in takeover of Identity Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
- CVE-2025-7851Critica9.8
Un attaccante potrebbe ottenere la shell di root sul sistema operativo sottostante in condizioni limitate sui gateway Omada.
- CVE-2025-7850Alta7.2
Una vulnerabilità di command injection può essere sfruttata dopo l'autenticazione dell'amministratore sul portale web dei gateway Omada.
- CVE-2025-61932Critica9.8
Lanscope Endpoint Manager (On-Premises) (Client program (MR) and Detection agent (DA)) improperly verifies the origin of incoming requests, allowing an attacker to execute arbitrary code by sending specially crafted packets.
- CVE-2025-53521Critica9.8
When a BIG-IP APM access policy is configured on a virtual server, specific malicious traffic can lead to Remote Code Execution (RCE). Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
- CVE-2024-26008Media5.3
Una vulnerabilità di controllo o gestione improprio delle condizioni eccezionali [CWE-703] in FortiOS versione 7.4.0 fino a 7.4.3 e precedenti alla 7.2.7, FortiProxy versione 7.4.0 fino a 7.4.3 e precedenti alla 7.2.9, FortiPAM precedenti alla 1.2.0 e FortiSwitchManager versione 7.2.0 fino a 7.2.3 e versione 7.0.0 fino a 7.0.3, nel daemon fgfm, può consentire a un attaccante non autenticato di reimpostare ripetutamente la connessione fgfm tramite richieste TCP cifrate SSL appositamente create.
- CVE-2025-59287Critica9.8
Deserialization of untrusted data in Windows Server Update Service allows an unauthorized attacker to execute code over a network.
- CVE-2025-59230Alta7.8
Improper access control in Windows Remote Access Connection Manager allows an authorized attacker to elevate privileges locally.
- CVE-2025-24990Alta7.8
Microsoft is aware of vulnerabilities in the third party Agere Modem driver that ships natively with supported Windows operating systems. This is an announcement of the upcoming removal of ltmdm64.sys driver. The driver has been removed in the October cumulative update. Fax modem hardware dependent on this specific driver will no longer work on Windows. Microsoft recommends removing any existing dependencies on this hardware.
- CVE-2025-39964Alta7.8
Nel kernel Linux è stata risolta la seguente vulnerabilità: crypto: af_alg - Impedisci scritture concorrenti in af_alg_sendmsg Eseguire due scritture sullo stesso socket af_alg è scorretto, poiché i dati verrebbero intercalati in modo imprevedibile. Inoltre, le scritture concorrenti possono creare incoerenze nello stato interno del socket. Impedire questa situazione aggiungendo un nuovo campo ctx->write che indica la proprietà esclusiva per la scrittura.
- CVE-2025-61884Alta7.5
Vulnerability in the Oracle Configurator product of Oracle E-Business Suite (component: Runtime UI). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Configurator. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all Oracle Configurator accessible data. CVSS 3.1 Base Score 7.5 (Confidentiality impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).
- CVE-2025-31718Alta7.5
Nel modem, esiste un possibile arresto anomalo del sistema dovuto a una convalida impropria dell'input. Ciò potrebbe portare a un'escalation remota dei privilegi senza necessità di privilegi di esecuzione aggiuntivi.
- CVE-2025-11371Alta7.5
In the default installation and configuration of Gladinet CentreStack and TrioFox, there is an unauthenticated Local File Inclusion Flaw that allows unintended disclosure of system files. Exploitation of this vulnerability has been observed in the wild. This issue impacts Gladinet CentreStack and Triofox: All versions prior to and including 16.7.10368.56560
- CVE-2025-61882Critica9.8
Vulnerabilità nel prodotto Oracle Concurrent Processing di Oracle E-Business Suite (componente: BI Publisher Integration). Le versioni supportate interessate sono 12.2.3-12.2.14. Una vulnerabilità facilmente sfruttabile consente a un utente malintenzionato non autenticato con accesso alla rete tramite HTTP di compromettere Oracle Concurrent Processing. Gli attacchi riusciti a questa vulnerabilità possono comportare la presa di controllo di Oracle Concurrent Processing. Punteggio base CVSS 3.1 9.8 (impatti su riservatezza, integrità e disponibilità). Vettore CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
- CVE-2025-41244Alta7.8
VMware Aria Operations and VMware Tools contain a local privilege escalation vulnerability. A malicious local actor with non-administrative privileges having access to a VM with VMware Tools installed and managed by Aria Operations with SDMP enabled may exploit this vulnerability to escalate privileges to root on the same VM.
- CVE-2025-35027Alta7.3
Molteplici prodotti robotici di Unitree che condividono un firmware comune, inclusi i dispositivi Go2, G1, H1 e B2, contengono una vulnerabilità di command injection. Impostando una stringa dannosa durante la configurazione del WiFi di bordo tramite un modulo BLE di un robot interessato, quindi attivando un riavvio del servizio WiFi, un attaccante può in ultima analisi attivare l'esecuzione di comandi come root tramite lo script shell wpa_supplicant_restart.sh. Tutti i modelli Unitree utilizzano firmware derivato dalla stessa codebase (MIT Cheetah), e i due fork principali sono i rami G1 (umanoide) e Go2 (quadrupede).
- CVE-2025-20362Media6.5
Update: On November 5, 2025, Cisco became aware of a new attack variant against devices running Cisco Secure ASA Software or Cisco Secure FTD Software releases that are affected by CVE-2025-20333 and CVE-2025-20362. This attack can cause unpatched devices to unexpectedly reload, leading to denial of service (DoS) conditions. Cisco strongly recommends that all customers upgrade to the fixed software releases that are listed in the Fixed Software ["#fs"] section of this advisory. A vulnerability in the VPN web server of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to access restricted URL endpoints that are related to remote access VPN that should otherwise be inaccessible without authentication. This vulnerability is due to improper validation of user-supplied input in HTTP(S) requests. An attacker could exploit this vulnerability by sending crafted HTTP requests to a targeted web server on a device. A successful exploit could allow the attacker to access a restricted URL without authentication.
This product uses the NVD API but is not endorsed or certified by the NVD.