Une vulnérabilité d'injection SQL existe dans le système de soumission et d'évaluation de rapports de projet en ligne 1000projects 1.0, permettant aux attaquants distants de manipuler l'argument batch_id. Les versions de Yahoo ! WebPlayer jusqu'à 2.0.6 sont affectées par une faille de scriptage croisé (XSS) réfléchi. Les versions de WPMU Ldap Authentication jusqu'à 5.0.1 sont touchées par une faille de falsification de requête intersite (CSRF) entraînant un XSS stocké. La version de Drag and Drop File Upload pour Elementor Forms jusqu'à 1.5.3 comporte une vulnérabilité de téléchargement de fichiers non restreint permettant le téléchargement de coquilles Web. Agiloft Release 28 comporte des packages système critiques téléchargés via HTTP non sécurisé et contient des informations d'identification par défaut pour l'escalade de privilèges. QbiCRMGateway par Ai3 comporte une vulnérabilité de lecture de fichiers arbitraire via une traversée de chemin relatif. Les plateformes Arista EOS peuvent accepter des paquets UDP malveillants sur le port 3503. Le plugin Poll, Survey & Quiz Maker par Opinion Stage, versions jusqu'à 19.11.0, permet l'inclusion de fichiers locaux PHP. Les versions d'Asterisk antérieures à 20.15.2, 21.10.2 et 22.5.2 comportent une vulnérabilité de crash dans res_pjsip_authenticator_digest en raison d'une mauvaise gestion des en-têtes d'autorisation SIP. Les versions de Tiktok Feed par bPlugins jusqu'à 1.0.21 comportent une vulnérabilité d'autorisation manquante.