Katalog podatności CVE

Podatność związana z nieprawidłową autoryzacją pozwala użytkownikom z uprawnieniami logowania do systemu na usuwanie definicji zadań w nieautoryzowanych projektach.

Wersje CP Client Portal (Pro) do 5.6.2 mają podatność umożliwiającą pobieranie dowolnych plików przez nieautoryzowanych użytkowników.

Wersje Bricks Builder do 2.1.4 zawierają lukę w kontroli dostępu, która może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.

W Yoast SEO Premium występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wersje W3 Total Cache do 2.9.1 zawierają błąd związany z niewłaściwą kontrolą dostępu, co może prowadzić do nieautoryzowanego dostępu do zasobów.

W wersjach Valiance <= 1.2 występuje podatność na nieautoryzowaną injekcję obiektów PHP.

Wersje Playroom do 1.4.1 zawierają podatność na nieautoryzowaną injekcję obiektów PHP.

W WPAMS w wersjach poniżej 49.5.3 występuje podatność umożliwiająca subskrybentom usuwanie dowolnych treści.

W systemie evolution-data-server znaleziono lukę, która pozwala na nieprawidłowe porównanie w backendzie pliku książki adresowej. Aplikacja Flatpak z dostępem do D-Bus może stworzyć złośliwy URI z sekwencjami przejścia katalogów, co prowadzi do usunięcia dowolnych plików z systemu plików hosta.

W MmsSmsProvider w pliku MmsSmsProvider.java występuje możliwość uzyskania wrażliwych informacji z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W dostawcy kontaktów istnieje możliwość dostępu do bazy danych kontaktów z powodu podatności na wstrzykiwanie SQL. Może to prowadzić do ujawnienia lokalnych informacji bez potrzeby dodatkowych uprawnień wykonawczych.

W pliku PackageInstallerSession.java występuje błąd logiczny, który może prowadzić do ataku wyczerpania pamięci. Może to skutkować lokalnym odmową usługi bez potrzeby dodatkowych uprawnień wykonawczych.

Podatność Cross-Site Scripting (XSS) w urządzeniu Regesta Smart HD-PLC firmy Teldat pozwala atakującemu z dostępem sieciowym na wstrzyknięcie dowolnego kodu JavaScript poprzez pole 'Hostname' w pliku konfiguracyjnym. Atak wymaga uwierzytelnienia i prowadzi do wykonania skryptu w kontekście ścieżki /upgrade/query.php?cmd=p+3%3Bversion.

Podatność w urządzeniu Regesta Smart HD-PLC firmy Teldat umożliwia atakującemu z dostępem sieciowym (bez uwierzytelniania) przeprowadzenie ataku Slow Loris, powodując odmowę usługi (DoS) na interfejsie webowym. Problem dotyczy wersji oprogramowania TLDPH16D2 11.02.05.10.02.

Podatność w urządzeniu Regesta Smart HD-PLC firmy Teldat umożliwia osobie atakującej z dostępem sieciowym (bez uwierzytelniania) uzyskanie informacji o uprawnieniach poprzez wysłanie żądania Version na ścieżkę /upgrade/query.php?cmd=p+3&3Bversion. Problem dotyczy wersji oprogramowania TLDPH16D2 11.02.05.10.02.

W wersjach Slimstat Analytics poniżej 5.4.0 występuje podatność na nieautoryzowaną deserializację niezaufanych danych.

W wersjach MetForm Pro do 3.9.1 występuje problem z kontrolą dostępu, który może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.

W wersjach WishList Member X do 3.29.0 występuje problem z kontrolą dostępu, który może prowadzić do nieautoryzowanego dostępu do subskrybentów.

W bibliotece vLLM wykryto podatność związaną z nieprawidłowym przetwarzaniem metadanych obrazów, takich jak orientacja EXIF i przezroczystość PNG (tRNS). Podczas konwersji obrazów do RGB informacje o przezroczystości są pomijane lub mapowane w nieoczekiwany sposób, co prowadzi do zniekształcenia treści wejściowej. Może to spowodować błędną interpretację obrazu przez model.

W Google Chrome na Androidzie przed wersją 149.0.7827.155 wystąpiło nieprawidłowe użycie niezainicjowanej pamięci w GPU, co pozwalało zdalnemu atakującemu na wyciek danych między różnymi źródłami za pomocą spreparowanej strony HTML.