Katalog podatności CVE

CI4MS to szkielet CMS oparty na CodeIgniter 4. Przed wersją 0.31.0.0 aplikacja nieprawidłowo oczyszcza dane wejściowe kontrolowane przez użytkownika w sekcji System Settings – Company Information. Kilka pól konfiguracji administracyjnej przyjmuje dane atakującego, które są przechowywane po stronie serwera i później renderowane bez odpowiedniego kodowania wyjścia.

CI4MS, szkielet CMS oparty na CodeIgniter 4, w wersjach przed 0.31.0.0 nie sanityzuje poprawnie danych kontrolowanych przez użytkownika w ustawieniach systemowych – zarządzaniu mediami społecznościowymi. Pola takie jak Social Media i Social Media Link przyjmują dane atakującego, które są przechowywane po stronie serwera i później renderowane bez właściwego kodowania wyjścia.

Wiele urządzeń D-Link (m.in. DNS-120, DNS-320, DNS-323, DNS-345, DNR-326) do wersji 20260205 ma podatność w funkcjach obsługi dysków w /cgi-bin/dsk_mgr.cgi. Manipulacja prowadzi do niewłaściwej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny.

IBM Maximo Application Suite w wersjach 9.1, 9.0, 8.11 i 8.10 nie ustawia atrybutu secure na tokenach autoryzacyjnych ani ciasteczkach sesji. Atakujący może uzyskać wartości ciasteczek, wysyłając użytkownikowi link http:// lub umieszczając go w odwiedzanej witrynie — ciasteczko zostanie przesłane niezabezpieczonym łączem, a atakujący może je przechwycić, podsłuchując ruch.

IBM Verify Identity Access Container i IBM Security Verify Access Container w wersjach 10.0-10.0.9.1 oraz 11.0-11.0.2 zwracają listy certyfikatów jako ładunek JSON, ale niepoprawnie ustawiają nagłówek Content-Type na text/html. Przeglądarki mogą zinterpretować dane JSON jako wykonywalny skrypt, co umożliwia wstrzyknięcie JavaScript i potencjalny atak XSS.

Biblioteka Flask-HTTPAuth przed wersją 4.8.1 wywołuje funkcję weryfikacji tokena z pustym ciągiem znaków, gdy klient nie przekazuje tokena lub przekazuje token pusty. Jeśli w bazie aplikacji istnieje użytkownik z pustym tokenem, żądanie może zostać uwierzytelnione jako ten użytkownik.

AIOHTTP (asyncio/Python) przed wersją 3.13.4 zezwalał na wiele nagłówków Host w żądaniach. Problem został naprawiony w wersji 3.13.4.

AIOHTTP przed wersją 3.13.4 pozwala atakującemu kontrolującemu parametr reason podczas tworzenia obiektu Response na wstrzyknięcie dodatkowych nagłówków lub podobne nadużycia. Podatność naprawiono w wersji 3.13.4.

AIOHTTP, asynchroniczny framework HTTP dla asyncio i Pythona, w wersjach przed 3.13.4 przy przekierowaniu na inną domenę usuwa nagłówek Authorization, ale zachowuje nagłówki Cookie i Proxy-Authorization. Może to prowadzić do wycieku danych uwierzytelniających do innego originu. Problem naprawiono w wersji 3.13.4.

W aiohttp przed wersją 3.13.4 niektóre pola formularzy multipart były wczytywane w całości do pamięci przed sprawdzeniem limitu client_max_size. Może to prowadzić do nadmiernego zużycia pamięci.

W bibliotece aiohttp przed wersją 3.13.4 atakujący kontrolujący parametr content_type może wstrzyknąć dodatkowe nagłówki HTTP lub wykorzystać podobne podatności. Problem został naprawiony w wersji 3.13.4.

IBM Security Verify Access oraz IBM Verify Identity Access zawierają podatność związaną z niespójną interpretacją żądań HTTP przez reverse proxy. Może to umożliwić zdalnemu atakującemu dostęp do poufnych informacji.

IBM Security Verify Access oraz IBM Verify Identity Access zawierają podatność związaną z niespójną interpretacją żądań HTTP przez reverse proxy. Może to umożliwić zdalnemu atakującemu dostęp do poufnych informacji.

IBM DataPower Gateway w wersjach 10.6CD 10.6.1.0-10.6.5.0, 10.5.0 10.5.0.0-10.5.0.20 oraz 10.6.0 10.6.0.0-10.6.0.8 może ujawnić wrażliwe informacje systemowe z innych domen użytkownikowi administracyjnemu.

IBM Aspera Shares w wersjach od 1.9.9 do 1.11.0 używa słabszych niż oczekiwano algorytmów kryptograficznych, co może pozwolić atakującemu na odszyfrowanie bardzo wrażliwych informacji.

W urządzeniach D-Link DNS-120, DNR-202L, DNS-315L, DNS-320, DNS-320L, DNS-320LW, DNS-321, DNR-322L, DNS-323, DNS-325, DNS-326, DNS-327L, DNR-326, DNS-340L, DNS-343, DNS-345, DNS-726-4, DNS-1100-4, DNS-1200-05 i DNS-1550-04 do wersji 20260205 odkryto lukę w funkcji Webdav_Access_List pliku /cgi-bin/file_center.cgi. Manipulacja argumentem cmd prowadzi do niewłaściwej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Payload to darmowy system CMS typu headless. W wersjach przed 3.78.0 w pakietach @payloadcms/storage-azure, @payloadcms/storage-gcs, @payloadcms/storage-r2 i @payloadcms/storage-s3 punkty końcowe podpisanych URL do przesyłania plików przez klienta nie prawidłowo oczyszczały nazwy plików. Atakujący mógł spreparować nazwy plików, aby wydostać się poza zamierzoną lokalizację przechowywania.

Payload, darmowy i otwartoźródłowy headless CMS, w wersjach przed 3.79.1 zawiera podatność Cross-Site Request Forgery (CSRF) w procesie uwierzytelniania. W pewnych warunkach skonfigurowana ochrona CSRF może zostać obejścia, umożliwiając wykonywanie żądań cross-site. Podatność została naprawiona w wersji 3.79.1.

W Mbed TLS do wersji 4.0.0 występuje wywołany przez kompilator kanał boczny czasowy (w deszyfrowaniu RSA oraz CBC/ECB), który pojawia się tylko przy użyciu funkcji select-optimize w LLVM. Dotyczy to również TF-PSA-Crypto do wersji 1.0.0.

Podatność w ChangeDetection.io przed wersją 0.54.7 pozwala na ominięcie zabezpieczeń w parserze SafeXPath3Parser. Atakujący może odczytać dowolne pliki lokalne za pomocą nieblokowanych funkcji XPath 3.0/3.1, takich jak json-doc().