Katalog podatności CVE

Podatność pozwalała na zatarcie powiadomienia o trybie pełnoekranowym przez użycie adresu URL obsługiwanego przez zewnętrzny program, co mogło prowadzić do dezorientacji użytkowników oraz potencjalnych ataków spoofingowych.

Użycie TikaEncodingDetector w Apache Any23 może prowadzić do nadmiernego zużycia pamięci.

Zoho ManageEngine ADManager Plus w wersjach przed 7183 pozwala użytkownikom z uprawnieniami administratora wykorzystać problem XXE do przeglądania plików.

Bouncy Castle dla Javy przed wersją 1.74 jest podatny na atak typu LDAP injection. Podatność ta dotyczy aplikacji, które wykorzystują LDAP CertStore z Bouncy Castle do walidacji certyfikatów X.509, gdzie nazwa podmiotu certyfikatu jest wstawiana do filtru wyszukiwania LDAP bez odpowiedniego zabezpieczenia.

Wykryto krytyczną podatność w SmartWeb Infotech Job Board w wersji 1.0, dotyczącą nieznanej funkcjonalności pliku /settings/account w komponencie Moja strona profilowa. Manipulacja argumentem filename prowadzi do nieograniczonego przesyłania plików.

Wykryto krytyczną podatność w aplikacji SourceCodester Shopping Website 1.0, związaną z nieznaną funkcjonalnością pliku insert-product.php. Manipulacja tą funkcjonalnością prowadzi do nieograniczonego przesyłania plików.

W systemie SourceCodester Shopping Website w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcji w pliku search-result.php. Manipulacja argumentem 'product' prowadzi do ataku typu SQL injection.

Wtyczka Protect WP Admin dla WordPressa w wersjach przed 4.0 ujawnia adres URL panelu administracyjnego poprzez przekierowanie z wykorzystaniem spreparowanego adresu URL, omijając oferowaną ochronę.

Wszystkie wersje narzędzia konfiguracyjnego TWinSoft przechowują zaszyfrowane hasła w pamięci jako tekst jawny. Atakujący z dostępem do plików systemowych może otworzyć plik, aby załadować dokument do pamięci, w tym wrażliwe informacje, takie jak hasło.

Podatne urządzenia TBox RTU umożliwiają użytkownikom o niskich uprawnieniach dostęp do tokenów bezpieczeństwa o wyższych uprawnieniach. Atakujący z uprawnieniami 'użytkownika' może uzyskać dostęp do plików wymagających wyższych uprawnień poprzez nawiązanie sesji SSH i dostarczenie innych tokenów.

Podatne urządzenia TBox RTU generują tokeny bezpieczeństwa oprogramowania przy użyciu niewystarczającej entropii. Ziarno losowe używane do generowania tokenów nie jest poprawnie inicjowane, a inne części tokenu są generowane na podstawie przewidywalnych wartości czasowych.

W Maxsite CMS w wersji 108.7 występuje podatność typu Cross Site Scripting, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr f_content w pliku admin/page_new.

Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.

Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.

Nullsoft Scriptable Install System (NSIS) w wersjach przed 3.09 niewłaściwie zarządza kontrolą dostępu do katalogu odinstalowywania.

Zagrożone urządzenia TBox RTU przechowują hasła w postaci skrótów przy użyciu algorytmu MD5, który jest uznawany za niebezpieczny.

Knowage to profesjonalny zestaw open source do analizy danych, który ma lukę w wersjach 6.x.x i wcześniejszych niż 8.1.8. Umożliwia ona uwierzytelnionym użytkownikom pobieranie plików szablonów, jednak brak sanitizacji parametru '_templateName_' pozwala atakującym na pobranie dowolnego pliku z systemu.

W oprogramowaniu układowym procesora zabezpieczeń Google w Google Chrome na Chrome OS przed wersją 114.0.5735.90 wystąpił błąd odczytu poza zakresem, który umożliwił lokalnemu atakującemu przeprowadzenie ataku typu denial of service przy fizycznym dostępie do urządzenia.

2FA to aplikacja webowa do zarządzania kontami uwierzytelniania dwuskładnikowego (2FA) oraz generowania kodów zabezpieczających. W polu konta/usługi możliwe jest wstrzyknięcie ataku typu Cross Site Scripting (XSS).

Wystąpiła podatność związana z niecytowaną ścieżką wyszukiwania w systemie Windows w usłudze instalacyjnej MOVE 4.10.x i wcześniejszych wersjach. Błąd konfiguracyjny umożliwił nieautoryzowanemu lokalnemu użytkownikowi wstrzyknięcie dowolnego kodu do niecytowanej ścieżki usługi, co prowadzi do eskalacji uprawnień oraz zatrzymania usług antywirusowych.