Katalog podatności CVE

Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce SureDash firmy Brainstorm Force pozwala na przechowywany XSS. Podatność dotyczy wersji do 1.12.3 włącznie.

Aplikacja Share 2 Archive Today (versionCode 61) ma niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym dowolnie nadpisywać zawartość schowka innego użytkownika poprzez dostarczenie spreparowanego URL.

W komponencie ContentProvider aplikacji mhss1 MyBrain v3.1.0 występują niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym dowolnie odczytywać prywatne notatki, zadania i wpisy dziennika innego użytkownika.

W komponencie dostawcy treści CardProvider aplikacji helloworld1 AnyMemo (versionCode 20260730) występują niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym dowolnie odczytywać fiszki z całej bazy danych do nauki użytkownika.

Problem w komponencie activity.LoadLinkLaterActivity aplikacji FeedEx / Handy News Reader (versionCode 116) pozwala atakującym zmusić ofiary do pobrania spreparowanego URL.

W komponencie feiertage.ImportActivity aplikacji Arbeitszeiterfassung2 (versionCode 159) występują niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym tworzyć sfałszowane wpisy świąt i czasu pracy poprzez spreparowane importy ICS.

Aplikacja Ghost Commander File Manager (versionCode 479) ma niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym dowolnie czytać i zapisywać pliki w prywatnej pamięci menedżera.

W komponencie ShortcutDispatchActivity aplikacji canvoki (versionCode 14) występują niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym dowolnie wyzwalać skonfigurowane akcje automatyczne innego użytkownika.

Aplikacja Fossify v1.3.0 ma niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym uzyskać dostęp i odczytać kontakty przechowywane przez innego użytkownika.

Aplikacja Simple Contacts Pro (versionCode 107) ma niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym zapisywać i odczytywać notatki w bazie notatek innego użytkownika.

Aplikacja Bander Notepad (bander.notepad, versionCode 12) ma niebezpieczne uprawnienia, które pozwalają nieautoryzowanym atakującym zapisywać i odczytywać notatki w bazie notatek innego użytkownika.

W dnsmasq wykryto błąd: gdy funkcja DHCP leasequery jest włączona bez listy dozwolonych adresów źródłowych, serwer nie sprawdza nadawcy zapytania. Host w sieci lokalnej może odpytać o rekordy dzierżaw DHCP i poznać przypisane adresy, adresy MAC, nazwy hostów oraz powiązane metadane. Funkcja jest domyślnie wyłączona, chyba że administrator ją włączy.

W dnsmasq parser nazwy hosta klienta DHCPv6 może odczytać jeden bajt poza końcem spreparowanej opcji FQDN, ponieważ sprawdza długość kolejnej etykiety przed potwierdzeniem, że wskaźnik nadal znajduje się w opcji. Atakujący w sieci lokalnej może to wywołać pojedynczym pakietem DHCPv6. Nadmiarowy bajt nie jest zwracany klientowi ani logowany, a awaria nie została wykazana.

Router WIFI4 N300 (model T1 Pro) v1.0.0 firmy U-speed ma wadę kontroli dostępu polegającą na nieuwierzytelnionym interfejsie debugowania UART bez mechanizmów uwierzytelniania, autoryzacji i kontroli dostępu. Po podłączeniu do interfejsu atakujący uzyskuje powłokę root.

Wtyczka Import and export users and customers firmy Codection zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od początku do 2.5.9 włącznie.

Wtyczka brave-popup-builder dla WordPressa (Brave) do wersji 0.8.8 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Umożliwia to wstrzyknięcie kodu do strony.

Wtyczka PDF Poster (pdf-poster) dla WordPressa do wersji 2.6.1 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt może zostać trwale zapisany i wykonany u użytkowników.

Wtyczka HivePress Claim Listings do wersji 1.1.4 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieuprawnione operacje.

Wtyczka Kali Forms do wersji 2.4.27 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieuprawnione operacje.

Wtyczka JetEngine firmy Crocoblock zawiera podatność na wstrzyknięcie SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji od początku do 3.9.0.1 włącznie.