Katalog podatności CVE

W Webmin w wersji 2.100 odkryto podatność na trwały atak XSS w funkcji konfiguracji Usermin. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Custom, co prowadzi do wykonania skryptów w przeglądarce ofiary.

W Webmin 2.100 w funkcji menedżera plików wykryto podatność na atak XSS. Atakujący może wstrzyknąć złośliwy kod, który wykona się w przeglądarce ofiary podczas wyszukiwania lub zamiany plików.

W Webmin w wersji 2.100 w funkcji File Manager występuje odbita podatność na cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie złośliwego skryptu poprzez wstrzyknięcie spreparowanego ładunku do pliku 'Replace in Results'.

W GLib znaleziono lukę, która dotyczy deserializacji GVariant. Odpowiednio skonstruowany GVariant może spowodować nadmierne obciążenie procesora, prowadząc do odmowy usługi.

Występuje błąd w funkcji -fstack-protector w narzędziach opartych na GCC, które celują w AArch64, co pozwala atakującemu na wykorzystanie istniejącego przepełnienia bufora w lokalnych zmiennych o dynamicznej wielkości bez wykrycia. Problem dotyczy tylko zmiennych lokalnych o dynamicznej wielkości w stylu C99 lub tych tworzonych za pomocą alloca().

Podatność Cross Site Scripting (XSS) w kalendarzu Webmail w IceWarp 10.3.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML przez pole "p4".

Podatność SQL Injection w funkcji wyszukiwania na stronie tickets.php w osTicket 1.15.x umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez kombinację parametrów URL 'keywords' i 'topic_id'.

W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe niedopatrzenie w sprawdzaniu uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W systemie zarządzania zapasami SourceCodester w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'page' w pliku index.php prowadzi do włączenia plików, co umożliwia zdalne przeprowadzenie ataku.

W DedeCMS w wersji 5.7.110 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /uploads/tags.php. Manipulacja argumentem tag_alias prowadzi do wstrzyknięcia SQL.

Wykryto krytyczną podatność w platformie zarządzania Byzoro Smart S45F Multi-Service Secure Gateway do wersji 20230822. Problem dotyczy nieznanej funkcjonalności pliku /importexport.php, co prowadzi do wstrzyknięcia SQL.

W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego przetwarzania pliku ?r=dashboard/user/export&uid=X. Manipulacja tym plikiem prowadzi do wstrzyknięcia SQL.

W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku ?r=diary/default/del komponentu Delete Logs Handler. Manipulacja tą podatnością prowadzi do ataku typu SQL injection.

W systemie IBOS OA 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanej części pliku ?r=email/api/delDraft&archiveId=0 w komponencie Delete Draft Handler. Manipulacja ta prowadzi do wstrzyknięcia SQL.

W platformie zarządzania Byzoro Smart S85F do wersji 20230820 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /sysmanage/updateos.php, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem 1_file_upload.

Niepoprawna walidacja certyfikatów w InvokeHTTP w Apache NiFi MiNiFi C++ w wersjach 0.13 do 0.14 umożliwia pośrednikowi przedstawienie sfałszowanego certyfikatu podczas negocjacji TLS. Właściwość Disable Peer Verification została domyślnie wyłączona, co skutkuje brakiem weryfikacji przy użyciu HTTPS.