Katalog podatności CVE

Nagios XI w wersjach przed 5.4.13 jest podatny na cross-site scripting (XSS) poprzez stronę Views w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Fusion w wersjach przed 4.1.5 jest podatny na cross-site scripting (XSS) poprzez parametr "fusionwindow". Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Fusion w wersjach przed 4.0.1 jest podatny na cross-site scripting (XSS) poprzez strony Users i Servers. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez listę "My Reports" w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez system menu w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.2.4 jest podatny na cross-site scripting (XSS) poprzez interfejs Reports, wykorzystując wartości z pól startdate i enddate. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Log Server w wersjach przed 1.4.2 jest podatny na cross-site scripting (XSS) w sekcji Dashboards podczas renderowania wpisów logów w tabeli Logs. Niezaufana zawartość logów nie była bezpiecznie kodowana dla kontekstu wyjściowego, co pozwala danym kontrolowanym przez atakującego na wykonanie skryptu w przeglądarce ofiary w obrębie domeny aplikacji.

Nagios XI w wersjach przed 2012R2.6 jest podatny na cross-site scripting (XSS) poprzez menu Tools w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2012R1.6 zawiera błąd autoryzacji w funkcjonalności Auto-Discovery. Użytkownicy z rolą tylko do odczytu mogli bezpośrednio uzyskiwać dostęp do punktów końcowych i stron Auto-Discovery, które powinny wymagać podwyższonych uprawnień, ujawniając wyniki odkrywania i umożliwiając niezamierzony dostęp do operacji odkrywania.

Nagios XI w wersjach przed 2012R1.6 zawiera podatność typu reflected cross-site scripting (XSS) w funkcjonalności ładowania AJAX dashletów na pulpicie. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez funkcje obsługi linków używane na stronach statusu i raportów. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez raport Alert Heatmap oraz listę "My Reports" w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez skrypt recurring downtime w interfejsie webowym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez obsługę zmiennych xiwindow używanych do budowania permalinków w interfejsie webowym. Niewystarczająca walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2011R1.9 jest podatny na cross-site scripting (XSS) poprzez obsługę linku JavaScript "backend_url". Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Podatność cross-site scripting (XSS) w widżecie Blogs w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także w Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.8, 7.4 GA do update 92, 7.3 GA do update 36 i starszych nieobsługiwanych wersjach pozwala zdalnym atakującym wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany element <iframe> wstrzyknięty do pola tekstowego "Content" wpisu blogowego. Widżet Blogs w Liferay DXP nie dodaje atrybutu sandbox do elementów <iframe>, co pozwala zdalnym atakującym na dostęp do strony nadrzędnej poprzez skrypty i linki w ramce.

Kitware VTK (Visualization Toolkit) 9.5.0 jest podatny na Heap Use-After-Free w funkcji vtkGLTFImporter::ImportActors. Podczas przetwarzania plików GLTF z nieprawidłowymi odwołaniami do węzłów sceny aplikacja uzyskuje dostęp do elementów łańcuchowych obiektów siatki, które zostały wcześniej zwolnione podczas operacji importu aktorów.

W Zucchetti Ad Hoc Infinity 4.2 i wcześniejszych występuje podatność Cross-site scripting (XSS), która pozwala nieuwierzytelnionym zdalnym atakującym wstrzyknąć dowolny JavaScript poprzez parametr pHtmlSource endpointu /ahi/jsp/gsfr_feditorHTML.jsp?pHtmlSource.

W Zucchetti Ad Hoc Revolution 4.1 i wcześniejszych występuje podatność Cross-site scripting (XSS), która pozwala nieuwierzytelnionym zdalnym atakującym wstrzyknąć dowolny JavaScript poprzez parametr pHtmlSource endpointu /ahrw/jsp/gsfr_feditorHTML.jsp.

W wersji 7.5.1 biblioteki node-tar, użycie opcji .t (znanej jako .list) z { sync: true } do odczytu zawartości wpisów tar zwraca niezainicjowane dane pamięci, jeśli plik tar został zmieniony na dysku na mniejszy rozmiar podczas odczytu. Ta podatność została naprawiona w wersji 7.5.2.