Katalog podatności CVE

W ograniczonych scenariuszach poufne dane mogą zostać zapisane w pliku dziennika, jeśli administrator użyje Microsoft Teams Admin Center (TAC) do zmiany konfiguracji urządzenia. Zmieniony plik dziennika jest widoczny tylko dla użytkowników z uprawnieniami administratora. Problem dotyczy wyłącznie Microsoft TAC i nie wpływa na zmiany konfiguracji dokonywane za pomocą serwera provisioningowego lub interfejsu WebUI urządzenia.

W jądrze Linux w sterowniku drm/radeon usunięto próbę przetwarzania kolejki podczas sprawdzania, czy fence jest zasygnalizowany. Ponieważ signaled() może być wywołane z nieznanym stanem blokady fence (która jest także blokadą kolejki oczekiwania), próba postępu kolejki powodowała zakleszczenie.

W jądrze Linux występuje wyścig (race condition) między funkcją timer_shutdown_sync() a wygaśnięciem timera. Gdy timer_shutdown_sync() wyzeruje wskaźnik funkcji timera do NULL, podczas gdy timer wciąż działa na innym CPU, pozostaje oczekujący timer z pustym wskaźnikiem funkcji, co powoduje wywołanie WARN_ON w expire_timers(). Problem został naprawiony poprzez czyszczenie wskaźnika funkcji tylko wtedy, gdy timer jest faktycznie odłączany.

W jądrze Linux naprawiono nieefektywność w mechanizmie KSM (Kernel Samepage Merging). Funkcja scan_get_next_rmap_item() przeglądała każdy adres strony w obszarze VMA, co przy dużych mapowaniach wirtualnych z licznymi niezamapowanymi dziurami powodowało wysokie zużycie CPU przez ksmd. Zamieniono to na przeszukiwanie zakresowe z użyciem walk_page_range(), które pozwala pomijać całe niezamapowane obszary.

Wtyczka Reformer for Elementor do WordPressa zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji do 1.0.6 włącznie.

Wtyczka VK Google Job Posting Manager firmy Vektor, Inc. jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 1.2.22 włącznie.

Wtyczka Watu Quiz zawiera lukę braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.4.5 włącznie.

Wtyczka Spoter for Elementor (merkulove) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do <= 1.04.

Wtyczka WordPress Yaad Sarig Payment Gateway For WC w wersjach do 2.2.11 włącznie ma lukę braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowany dostęp do funkcji.

Podatność na brak autoryzacji w CatFolders (wtyczka WordPress) w wersjach do 2.5.3. Pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność braku autoryzacji w OnPay.io dla WooCommerce (wtyczka onpay-io-for-woocommerce) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.47 włącznie.

Wtyczka Google XML Sitemaps ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 4.1.22 włącznie.

Brak autoryzacji w wtyczce Directory Pro do wersji 2.5.6 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Easy Property Listings firmy Merv Barrett zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.5.22 włącznie.

Brak autoryzacji w wtyczce WP Coupons and Deals do wersji 3.2.4 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Freshchat (wersje do 2.3.4 włącznie) zawiera podatność typu Cross-Site Request Forgery (CSRF). Podatność umożliwia atakującemu wymuszenie na zalogowanym użytkowniku wykonania niechcianych akcji.

Wtyczka RTL Tester (do wersji 1.2) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może nakłonić uwierzytelnionego użytkownika do wykonania niechcianych operacji.

Brak autoryzacji w wtyczce WPS Bidouille do wersji 1.33.1 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Quick Interest Slider (wersje do 3.1.5 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych operacji w kontekście zalogowanego użytkownika.

Wtyczka Listify (do wersji 3.2.5) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może zmusić uwierzytelnionego użytkownika do wykonania niepożądanych akcji.