Katalog podatności CVE

Użycie domyślnych poświadczeń w Datiphy Data Management Center (wersje od 8.3.0 do 8.5.1) pozwala zdalnemu atakującemu uzyskać dostęp administracyjny do platformy zarządzania, logując się przy użyciu domyślnych poświadczeń administratora.

Crate arrayref 0.3.10 dla języka Rust może wywołać wykonanie złośliwego kodu podczas kompilacji projektu używającego tego crate'a, ponieważ zawiera nieuczciwą zależność, która rejestruje się na serwerze dowodzenia i kontroli, oferując wykonanie dowolnego kodu.

Crate append-only-vec 0.1.9 dla języka Rust może wywołać wykonanie złośliwego kodu podczas kompilacji projektu używającego tego crate'a, ponieważ zawiera nieuczciwą zależność, która rejestruje się na serwerze dowodzenia i kontroli, oferując wykonanie dowolnego kodu.

Crate internment 0.8.7 dla języka Rust może wywołać wykonanie złośliwego kodu podczas kompilacji projektu używającego tego crate'a, ponieważ zawiera nieuczciwą zależność, która rejestruje się na serwerze dowodzenia i kontroli, oferując wykonanie dowolnego kodu.

SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.

Krytyczna podatność zdalnego wykonania kodu (RCE) została zgłoszona w PTC Windchill i PTC FlexPLM. Podatność może być wykorzystana poprzez deserializację niezaufanych danych.

Krytyczna podatność obejścia kontroli dostępu została zgłoszona w PTC Windchill Risk and Reliability (WRR) Enterprise Edition.

W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.

Podatność Server-Side Request Forgery (SSRF) w Azure Active Directory umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

Deserializacja niezaufanych danych w Microsoft Entra ID umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci.

Nieprawidłowa autoryzacja w Azure Arc umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.

Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.

Nieprawidłowe neutralizowanie specjalnych elementów w poleceniu SQL (SQL injection) w Azure SQL Database umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

Nieprawidłowe neutralizowanie specjalnych elementów w poleceniu SQL (SQL injection) w Azure SQL Database umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.

Nieprawidłowa kontrola dostępu w Azure SQL Database umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Użycie nieprawidłowo rozwiązanego identyfikatora lub odwołania w Azure Arc umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Podatność typu Server-Side Request Forgery (SSRF) w Microsoft Exchange Online umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Nieprawidłowa neutralizacja separatorów argumentów w poleceniu (wstrzyknięcie argumentów) w Azure Managed Instance for Apache Cassandra umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.

Podatność typu Relative Path Traversal w Microsoft Fabric umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.

Nieprawidłowa weryfikacja podpisu kryptograficznego w Azure Data Factory umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.