Katalog podatności CVE

Aris w wersji v10.0.23.0.3587512 i wcześniejszych nie wymusza ograniczeń szybkości ani throttlingu w funkcji przesyłania plików, umożliwiając użytkownikom przesyłanie plików w nieograniczonym tempie. Atakujący może wykorzystać to do szybkiego przesłania dużej liczby plików, co może prowadzić do wyczerpania zasobów, takiego jak zapełnienie dysku, zwiększone obciążenie serwera lub pogorszenie wydajności.

W HCL DevOps Deploy w wersjach od 8.1.2.0 do 8.1.2.3 użytkownik z uprawnieniami do konfiguracji LLM może odzyskać poświadczenia wcześniej zapisane do uwierzytelnionych zapytań LLM.

Podatność typu Server-Side Request Forgery (SSRF) w wtyczce External Media firmy minnur umożliwia atakującemu wykonanie żądań po stronie serwera. Podatność dotyczy wersji External Media od n/a do 1.0.36 włącznie.

Produkt Kieback&Peter Neutrino-GLT używany do zarządzania budynkami ma komponent webowy "SM70 PHWEB", który jest podatny na wstrzyknięcie poleceń powłoki poprzez formularz logowania. Wstrzyknięte polecenia są wykonywane z niskimi uprawnieniami. Podatność została naprawiona w wersji 9.40.02.

W Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 występuje podatność na przechowywany XSS (CWE-79) w funkcjach tworzenia i administrowania ankietami. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia lub edycji ankiet mogą wykonywać dowolny JavaScript w przeglądarkach innych użytkowników, kraść dane sesji i wykonywać nieautoryzowane działania.

Wtyczka The Plus Addons for Elementor Pro (theplus_elementor_addon) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 6.3.7.

Podatność na Path Traversal (przejście do katalogu nadrzędnego) w wtyczce Advanced Database Cleaner PRO od SigmaPlugin umożliwia manipulację ścieżkami. Problem dotyczy Advanced Database Cleaner PRO w wersjach od n/a do 3.2.10.

W motywie Oneline Lite (wtyczka WordPress) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 6.6 włącznie.

Wtyczka JetEngine (do wersji 3.8.1.1 włącznie) zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Przejściowy atak typu Denial of Service (DoS) podczas parsowania ramki zarządzania WLAN zawierającej element informacyjny specyficzny dla dostawcy. Podatność może być wykorzystana przez zdalnego atakującego do zakłócenia działania urządzenia.

Podatność prowadzi do ujawnienia informacji, gdy słaby zahaszowany (hashed) wartość jest zwracana do kodu przestrzeni użytkownika w odpowiedzi na wywołanie IOCTL w celu uzyskania identyfikatora sesji.

Podatność typu uszkodzenie pamięci występuje podczas obsługi operacji narzędziowych czujników. Nieprawidłowe przetwarzanie danych prowadzi do korupcji pamięci.

Uszkodzenie pamięci podczas uzyskiwania dostępu do obiektu synchronizacji w trakcie operacji współbieżnych.

Uszkodzenie pamięci podczas wykonywania operacji odczytu rejestrów czujnika.

Uszkodzenie pamięci podczas analizowania danych konfiguracji zegara dla określonego typu sprzętu.

Uszkodzenie pamięci podczas przetwarzania pakietu współdzielonego bufora poleceń między przestrzenią użytkownika kamery a jądrem.

Uszkodzenie pamięci podczas obsługi operacji mapowania buforów w sterowniku kryptograficznym.

Podatność typu uszkodzenie pamięci występuje podczas przetwarzania wywołania konfiguracyjnego z przestrzeni użytkownika. Nieprawidłowa obsługa danych wejściowych prowadzi do korupcji pamięci.

Ujawnienie informacji podczas przetwarzania zdarzenia oprogramowania układowego (firmware).

Podatność powoduje przejściową odmowę usługi (DOS) podczas parsowania pakietów wideo odbieranych z firmware'u wideo. Nieprawidłowe przetwarzanie pakietów prowadzi do chwilowej niedostępności usługi.