Katalog podatności CVE

W parserze napisów MicroDVD w gst-plugins-base (GStreamer) występuje luka polegająca na dereferencji wskaźnika NULL. Przy przetwarzaniu specjalnie spreparowanego pliku napisów MicroDVD (.sub) aplikacja może ulec awarii podczas otwierania lub odtwarzania multimediów.

W GStreamer wykryto błąd przepełnienia liczb całkowitych w parserze liczb zmiennej długości LEB128 dla AV1. Złośliwie spreparowany strumień AV1 z nieprawidłową wartością LEB128 może spowodować przepełnienie i użycie błędnych długości, prowadząc do awarii aplikacji.

W parserze wideo H.264 w gst-plugins-bad występuje błąd polegający na dereferencji wskaźnika NULL podczas sprzątania częściowo zaalokowanych struktur po nieudanym parsowaniu spreparowanego pliku H.264 z nieprawidłowymi danymi Multiview (MVC) Sequence Parameter Set.

W parserze wideo H.265 w gst-plugins-bad wykryto błąd niedomiaru liczb całkowitych przy obliczaniu górnej granicy dla liczby wpisów palety w rozszerzeniu Screen Content Coding. Spreparowany strumień H.265 może spowodować zapis poza tablicą o stałym rozmiarze, uszkodzenie pamięci i awarię aplikacji.

W Amazon Kinesis Producer Library for Java przed wersją 1.0.8, przy logowaniu na poziomie DEBUG, poufne informacje mogą trafić do pliku logu, umożliwiając lokalnym użytkownikom uzyskanie poświadczeń AWS. Dodatkowo poświadczenia są przekazywane do procesu potomnego jako argumenty wiersza poleceń, gdzie można je odczytać z listy argumentów procesu.

W wtyczce WP Customer Area w wersjach do 8.4.0 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.

W wtyczce GiveWP w wersjach do 4.19.0.1 występuje nieuwierzytelnione naruszenie kontroli dostępu (Broken Access Control).

W wtyczce Masteriyo - LMS w wersjach do 3.4.3 występuje nieuwierzytelnione usuwanie dowolnych treści.

W wtyczce HUSKY w wersjach do 1.4.6 występuje nieuwierzytelnione ujawnienie poufnych danych.

W wtyczce SureDash w wersjach do 1.12.3 występuje podatność umożliwiająca użytkownikowi z rolą subskrybenta usuwanie dowolnych plików.

W wtyczce MultiVendorX w wersjach do 5.0.20 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.

Wtyczka YITH WooCommerce Product Add-Ons w wersjach do 4.34.0 zawiera podatność umożliwiającą nieuwierzytelnione obejście zabezpieczeń. Opis nie precyzuje mechanizmu, ale wskazuje na lukę typu bypass dostępną bez logowania.

Wtyczka Booktics firmy Arraytics w wersjach do 1.0.31 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wszystkich wersji od początku do 1.0.31.

Wtyczka Meow Gallery dla WordPressa jest podatna na przechowywany cross-site scripting poprzez tekst alternatywny załącznika (atrybut aria-label) we wszystkich wersjach do 5.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W przeglądarce Microsoft Edge (opartej na Chromium) występuje nieprawidłowa autoryzacja, która pozwala uwierzytelnionemu atakującemu na lokalne podniesienie uprawnień.

Wtyczka Meow Gallery dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 5.5.4 włącznie, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wyliczyć i odczytać metadane prywatnych i roboczych wpisów, w tym identyfikator, tytuł, datę, autora i status.

Mythic w wersjach od 3.2.16 do 3.4.0.61 zawiera lukę przechowywanego cross-site scripting, która pozwala atakującym kontrolującym pliki docelowego punktu końcowego na uruchomienie JavaScriptu w kontekście interfejsu Mythic poprzez umieszczenie HTML w plikach o nazwie .pdf. Gdy operator pobierze plik i kliknie Podgląd mediów, zawartość HTML jest renderowana w tej samej domenie, co pozwala na kradzież tokenów JWT z localStorage i uzyskanie pełnego dostępu do GraphQL i REST.

changelog.com przed commitem 7b35e829 zawiera lukę braku autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt niepublikowanych treści poprzez trasy podglądu w PostController, NewsIssueController i NewsItemController. Atakujący mogą wyliczać identyfikatory hashid wpisów, sekwencyjne slugi newsletterów i całkowite identyfikatory newsów, aby odczytać robocze wpisy, niewysłane newslettery i odrzucone elementy newsów.

Axigen Mail Server WebMail przed wersjami 10.6.39 i 10.7.1 zawiera lukę przechowywanego cross-site scripting, która pozwala nieuwierzytelnionym zdalnym atakującym na wstrzyknięcie skryptu poprzez nieescapowane nazwy wyświetlane nadawcy w widoku konwersacji. Atakujący może wysłać e-mail z HTML i skryptem w nazwie wyświetlanej pola From, który wykona się, gdy odbiorca otworzy folder, umożliwiając kradzież zawartości skrzynki lub przekierowanie.

Wtyczka CP Multi View Events Calendar dla WordPressa jest podatna na przechowywany cross-site scripting poprzez parametr 'Subject' we wszystkich wersjach do 1.4.43 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.