Katalog podatności CVE

CasaOS w wersjach do 0.4.15 udostępnia nieuwierzytelnione punkty końcowe, które pozwalają zdalnym atakującym na odczyt wrażliwych plików konfiguracyjnych i informacji debugowania systemu. Punkty /v1/users/image i /v1/sys/debug umożliwiają dostęp do plików oraz ujawniają dane o systemie operacyjnym, jądrze, sprzęcie i magazynie.

W Daptin 0.10.3 funkcja goqu.L w pliku server/resource/resource_aggregate.go komponentu Aggregate API jest podatna na wstrzyknięcie SQL poprzez manipulację argumentami column/group/order. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Plane (open source narzędzie do zarządzania projektami) przed wersją 1.2.0 ma problem z dostępem do endpointu `/api/workspaces/:slug/members/`, który jest dostępny dla użytkowników-gości i umożliwia listowanie użytkowników w konkretnym workspace. Ponieważ `display_name` w odpowiedzi jest faktycznie handlerem emaila, złośliwy gość może zidentyfikować adresy email administratorów.

Podatność przepełnienia bufora w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może zmodyfikować pamięć lub spowodować awarię procesów. Problem został naprawiony w wersji QTS 5.2.8.3332 build 20251128 i późniejszych.

Zgłoszono podatność typu przejście ścieżki, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący posiadający konto administratora może wykorzystać tę podatność do odczytu zawartości nieoczekiwanych plików lub danych systemowych.

Podatność polegająca na przechodzeniu do innych katalogów (path traversal) w systemach operacyjnych QNAP. Zdalny atakujący z kontem administratora może wykorzystać ją do odczytu nieoczekiwanych plików lub danych systemowych. Problem naprawiono w QTS 5.2.8.3332 i nowszych oraz QuTS hero h5.2.8.3321 i nowszych.

Podatność przepełnienia bufora w oprogramowaniu License Center. Zdalny atakujący z kontem administratora może wykorzystać tę podatność do modyfikacji pamięci lub spowodowania awarii procesów. Problem został naprawiony w wersji 2.0.36 i późniejszych.

W kilku produktach QNAP wykryto podatność typu path traversal. Lokalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do odczytu nieoczekiwanych plików lub danych systemowych.

Podatność odczytu poza zakresem (out-of-bounds read) w oprogramowaniu License Center. Zdalny atakujący z kontem użytkownika może wykorzystać ją do uzyskania tajnych danych. Problem naprawiono w wersji 2.0.36 i późniejszych.

Podatność na przepełnienie bufora dotyczy kilku wersji systemów operacyjnych QNAP. Jeśli zdalny atakujący uzyska konto administratora, może wykorzystać podatność do modyfikacji pamięci lub awarii procesów. Problem został naprawiony w QTS 5.2.8.3332 build 20251128 i nowszych.

W QuMagie wykryto podatność typu cross-site scripting (XSS). Zdalny atakujący może wykorzystać tę podatność do obejścia mechanizmów bezpieczeństwa lub odczytu danych aplikacji.

Podatność typu allocation of resources without limits or throttling w systemach QNAP może zostać wykorzystana przez zdalnego atakującego, który uzyska konto administratora, do uniemożliwienia innym systemom, aplikacjom lub procesom dostępu do tego samego typu zasobu. Producent naprawił podatność w wersjach QTS 5.2.7.3256 build 20250913 i nowszych oraz QuTS hero h5.2.7.3256 build 20250913 i h5.3.1.3250 build 20250912 i nowszych.

W kilku wersjach systemów operacyjnych QNAP występuje podatność odczytu poza zakresem (out-of-bounds read). Zdalny atakujący z kontem administratora może ją wykorzystać do uzyskania dostępu do tajnych danych.

W kilku wersjach systemów operacyjnych QNAP występuje podatność odczytu poza zakresem (out-of-bounds read). Zdalny atakujący z kontem administratora może ją wykorzystać do uzyskania dostępu do tajnych danych.

W kilku wersjach systemów operacyjnych QNAP występuje podatność odczytu poza zakresem (out-of-bounds read). Zdalny atakujący z kontem administratora może ją wykorzystać do uzyskania dostępu do tajnych danych.

W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).

W kilku wersjach systemu QNAP występuje podatność przepełnienia bufora. Zdalny atakujący z uprawnieniami administratora może wykorzystać tę wadę do modyfikacji pamięci lub awarii procesów.

W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę lukę do przeprowadzenia ataku odmowy usługi (DoS).

W kilku wersjach systemu QNAP występuje podatność związana z użyciem zewnętrznie kontrolowanego formatu ciągu. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę lukę do uzyskania poufnych danych lub modyfikacji pamięci.

W kilku wersjach systemu QNAP występuje podatność polegająca na dereferencji wskaźnika NULL. Zdalny atakujący, który uzyska konto administratora, może wykorzystać tę wadę do przeprowadzenia ataku typu odmowa usługi (DoS).