Katalog podatności CVE

Wtyczka CRM Perks Contact Form Entries w wersjach do 1.3.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.

Wtyczka WP-Matomo Integration (WP-Piwik) w wersjach do 1.0.27 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Wtyczka Ciprian Popescu YouTube Playlist Player w wersjach do 4.6.4 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka PluginOps MailChimp Subscribe Form w wersjach do 4.0.9.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników odwiedzających stronę.

Wtyczka Smart App Banner w wersjach do 1.1.2 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka BEAR w wersjach do 1.1.3.1 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Podatność CSRF w wtyczce Crocoblock JetFormBuilder w wersjach do 3.0.6 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka WooDiscuz – WooCommerce Comments zawiera podatność na przechowywane ataki XSS, które mogą być wykorzystane przez użytkowników z uprawnieniami administratora. Problem dotyczy wersji od n/a do 2.2.9.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Źle sformatowany kanał RSS może dostarczyć ładunek XSS. Problem został naprawiony w wersji 4.4.6.

Omni-notes to aplikacja do robienia notatek na Androida, która miała lukę w walidacji ścieżek. Luka ta pozwalała złośliwym aplikacjom na kopiowanie plików z wewnętrznego magazynu do zewnętrznego, co mogło prowadzić do nieautoryzowanego dostępu do danych.

Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.

W jądrze Linux w funkcji f2fs_write_end_io w pliku fs/f2fs/data.c występuje błąd dereferencji wskaźnika NULL. Luka pozwala lokalnemu uprzywilejowanemu użytkownikowi wywołać odmowę usługi.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych. Występuje podatność na atak typu cross-site scripting (XSS), która może być wywołana przez wolumeny recenzji. Problem został naprawiony w wersji 4.4.7.

Highlight to otwartoźródłowa platforma monitorująca, która może rejestrować hasła w przypadku, gdy pole HTML z hasłem zostanie zmienione na `type="text"` za pomocą przycisku JavaScript 'Pokaż hasło'. To zachowanie różni się od oczekiwanego, które zawsze ukrywa dane wejściowe typu `password`.

Django-SES to backend pocztowy dla Django, który implementuje obsługę AWS Simple Email Service. W bibliotece django_ses wystąpił błąd w weryfikacji podpisów żądań z AWS, co pozwalało na określenie dowolnych publicznych certyfikatów.

Podatność w curl < v8.1.0 polega na nieprawidłowej walidacji certyfikatów podczas dopasowywania wzorców wieloznacznych w polu Subject Alternative Name certyfikatów serwera TLS. Wbudowana funkcja dopasowywania nazw w curl nieprawidłowo dopasowuje nazwy IDN (International Domain Name), co może skutkować akceptacją wzorców, które powinny zostać odrzucone.

Podatność typu denial of service w curl < v8.1.0 dotyczy sposobu, w jaki libcurl udostępnia różne backendy do rozwiązywania nazw hostów. W przypadku wbudowanego synchronicznego resolvera nazwy mogą powodować przekroczenie czasu wolnych operacji za pomocą alarm() i siglongjmp(), a libcurl używa globalnego bufora bez ochrony mutex, co w aplikacji wielowątkowej może prowadzić do awarii lub nieprawidłowego działania.

W aplikacji internetowej Papaya Viewer w wersji 1.0.1449 odkryto problem związany z brakiem sanitizacji danych wejściowych. Użytkownicy mogą załadować obrazy DICOM lub NIFTI, co umożliwia wstrzyknięcie dowolnego kodu JavaScript do metadanych obrazu, który jest wykonywany podczas wyświetlania tych metadanych.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Wykryto podatność na atak typu cross-site scripting (XSS), która może być wywołana za pomocą narzędzia Update Asset Index. Problem został naprawiony w wersji 4.4.6.

W bibliotece libssh wykryto dereferencję wskaźnika NULL podczas ponownego uzgadniania kluczy (re-keying) z odgadywaniem algorytmu. Uwierzytelniony klient może wykorzystać tę podatność do wywołania odmowy usługi.