Katalog podatności CVE

W Devolutions Server brak autoryzacji w funkcji aktualizacji profilu użytkownika pozwala uwierzytelnionemu użytkownikowi Active Directory na modyfikację własnych atrybutów profilu poprzez spreparowane żądanie API.

W Devolutions Server do wersji 2026.1.16.0 brak autoryzacji w funkcji importu sejfów pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na tworzenie nowych sejfów poprzez spreparowane żądanie importu.

Niewłaściwa kontrola dostępu w funkcji dziennika aktywności wpisów w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z dostępem do wpisu, ale bez wymaganych uprawnień, na pobranie dziennika aktywności tego wpisu poprzez spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

Parsowanie dowolnego HTML, który jest następnie renderowany za pomocą Render, może skutkować nieoczekiwanym drzewem HTML. Może to być wykorzystane do przeprowadzenia ataków XSS w aplikacjach, które próbują oczyścić wejściowy HTML przed renderowaniem.

Parsowanie dowolnego HTML, który jest następnie renderowany za pomocą Render, może skutkować nieoczekiwanym drzewem HTML. Można to wykorzystać do przeprowadzenia ataków XSS w aplikacjach, które próbują oczyścić wejściowy HTML przed renderowaniem.

Parsowanie dowolnego HTML, który jest następnie renderowany za pomocą Render, może skutkować nieoczekiwanym drzewem HTML. Można to wykorzystać do przeprowadzenia ataków XSS w aplikacjach, które próbują oczyścić wejściowy HTML przed renderowaniem.

Parsowanie dowolnego HTML, który jest następnie renderowany za pomocą funkcji Render, może prowadzić do nieoczekiwanej struktury drzewa HTML. Można to wykorzystać do przeprowadzenia ataków XSS w aplikacjach, które próbują oczyścić wejściowy HTML przed renderowaniem.

Podczas parsowania dowolnego kodu HTML może dojść do nadmiernego zużycia czasu procesora, co prowadzi do odmowy usługi (DoS).

Dell Unisphere for PowerMax vApp w wersji przed 10.0.0.2 zawiera podatność na obejście autoryzacji w aplikacji Unisphere for VMAX działającej w vApp.

Dell ECS w wersjach 3.5 i 3.6 zawiera podatność w module Identity and Access Management (IAM) polegającą na nieprawidłowej kontroli dostępu. Zdalny, nieuwierzytelniony atakujący może uzyskać dostęp do odczytu nieautoryzowanych danych.

Concrete CMS w wersjach od 9.0 do 9.5.0 zawiera podatność na trwałe XSS w motywie Atomik poprzez nazwę strony. Złośliwy edytor może wstrzyknąć dowolny kod JavaScript, który wykona się w kontekście każdego uwierzytelnionego użytkownika odwiedzającego dotknięte strony konta.

Concrete CMS 9.5.0 i wcześniejsze jest podatne na IDOR oraz niewłaściwy poziom autoryzacji w oknie dialogowym Reorder dla asocjacji Express. Może to prowadzić do manipulacji stanem między encjami przy tylko do odczytu uprawnieniach na jednym wpisie. Aby być podatnym, strona musi używać Express i polegać na kolejności encji Express.

Concrete CMS w wersji 9.5.0 i niższych jest podatny na atak CSRF przez Backend\File::approveVersion. Ofiara z uprawnieniami edit_file_contents może zostać zmuszona do opublikowania wybranej przez atakującego wcześniej przesłanej wersji pliku (downgrade lub aktywacja nieopublikowanej wersji).

Dell PowerFlex Manager w wersji 4.6.2 i niższych zawiera podatność niebezpiecznego przechowywania wrażliwych informacji. Atakujący z niskimi uprawnieniami i lokalnym dostępem może uzyskać nieautoryzowany dostęp do poufnych danych.

Dell VxRail w wersjach przed 7.0.200 zawiera podatność polegającą na przechowywaniu haseł w postaci jawnego tekstu w VxRail Manager. Użytkownik z uprawnieniami sys-admin może wykorzystać tę podatność do ujawnienia poświadczeń innych użytkowników.

vifm jest podatny na przepełnienie bufora sterty podczas scalania historii przy zapisie pliku stanu (vifminfo.json). Brak kontroli długości wpisów historii w wersjach wydaniowych może pozwolić na umieszczenie długiej ścieżki lub komendy w historii, co prowadzi do uszkodzenia pamięci lub awarii. Podatne są wersje od 0.12.1 do 0.14.3 włącznie.

Podatność w oprogramowaniu syslink AG Avantra na Linux i Windows umożliwia ataki typu sniffing na niechronione dane uwierzytelniające. Problem dotyczy wersji przed 25.3.0.

Oprogramowanie syslink AG Avantra przed wersją 25.3.0 na Linux i Windows używa domyślnych haseł. Umożliwia to atakującemu próbę typowych lub domyślnych nazw użytkownika i haseł.

Podatność w Dell PowerFlex Manager w wersjach do 4.6.2. Nieuwierzytelniony atakujący zdalny może uzyskać dostęp do listowania katalogów, co prowadzi do wycieku informacji.

Dell PowerFlex Manager w wersjach do 4.6.2 włącznie zawiera podatność nieprawidłowego przypisania uprawnień. Niskouprzywilejowany atakujący z dostępem lokalnym może potencjalnie eskalować swoje uprawnienia.