Katalog podatności CVE

W O2OA do wersji 10.0-410 wykryto podatność w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/importmodel w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit jest publiczny, a producent zapowiedział poprawkę w nowej wersji.

Wykryto podatność typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Podatność dotyczy nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/statement w komponencie Personal Profile Page i jest wywoływana przez manipulację argumentem description/queryName. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanej funkcji pliku /x_query_assemble_designer/jaxrs/table w komponencie Personal Profile Page. Manipulacja argumentami description/applicationName/queryName powoduje cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca zapowiedział poprawkę w nowej wersji.

Odkryto lukę bezpieczeństwa typu cross-site scripting (XSS) w O2OA w wersjach do 10.0-410. Dotyczy ona nieznanej funkcji w pliku /x_query_assemble_designer/jaxrs/stat w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description/applicationName prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W urządzeniu Tenda AC9 w wersji 15.03.05.19 w pliku /etc_ro/shadow (komponent Administrative Interface) występują zaszyte na stałe poświadczenia. Atak można przeprowadzić lokalnie, charakteryzuje się wysoką złożonością i jest trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty.

W Cudy LT500E do wersji 2.3.12 zidentyfikowano podatność w pliku /squashfs-root/etc/shadow w komponencie Web Interface. Manipulacja prowadzi do użycia hasła zakodowanego na stałe. Atak musi być przeprowadzony lokalnie. Złożoność ataku jest wysoka, a wykorzystanie trudne. Exploit jest publicznie dostępny i może być użyty. Aktualizacja do wersji 2.3.13 rozwiązuje problem. Producent wyjaśnia, że firmware przechowuje domyślne hasło 'admin', które jest przestarzałe od wersji 2.3.13 i nie jest już używane; nowe hasło (co najmniej 8 znaków) musi być ręcznie utworzone przy pierwszym logowaniu.

W Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_nivel_ensino_cad.php. Manipulacja argumentami nm_nivel/descricao pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.

W Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_tipo_regime_cad.php. Manipulacja argumentem nm_tipo pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.

W aplikacji Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting (XSS) w pliku /intranet/educar_tipo_ocorrencia_disciplinar_cad.php. Manipulacja argumentami nm_tipo/descricao pozwala na wstrzyknięcie złośliwego skryptu. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.

W Portabilis i-Educar do wersji 2.10 występuje podatność cross-site scripting (XSS) w pliku /module/FormulaMedia/edit. Manipulacja argumentami nome/formulaMedia umożliwia wstrzyknięcie złośliwego skryptu. Exploit został opublikowany i może być wykorzystany zdalnie.

W Portabilis i-Educar do wersji 2.10 wykryto podatność cross-site scripting (XSS) w pliku /module/TabelaArredondamento/edit, w komponencie Cadastrar tabela de arredondamento Page. Manipulacja argumentem Nome prowadzi do wykonania złośliwego skryptu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w nieznanym kodzie pliku /x_processplatform_assemble_designer/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description/applicationName może prowadzić do cross site scripting, a atak można wykonać zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W O2OA w wersjach do 10.0-410 odkryto lukę typu cross-site scripting (XSS). Dotyczy ona nieznanej części pliku /x_processplatform_assemble_designer/jaxrs/process w komponencie Personal Profile Page, a manipulacja argumentami name/alias prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_organization_assemble_control/jaxrs/unit/ w komponencie Personal Profile Page. Manipulacja argumentami name/shortName/distinguishedName/pinyin/pinyinInitial/levelName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W O2OA do wersji 10.0-410 wykryto podatność cross-site scripting (XSS) w pliku /x_processplatform_assemble_designer/jaxrs/form, w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent zapowiedział poprawkę w nowej wersji.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_cms_assemble_control/jaxrs/script w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/form w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 znaleziono podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/design/appdict w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto lukę typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_program_center/jaxrs/agent w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.

W O2OA (do wersji 10.0-410) strona profilu osobistego w pliku /x_portal_assemble_designer/jaxrs/page jest podatna na cross-site scripting. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny; dostawca zapowiedział poprawkę w nowej wersji.