Katalog podatności CVE

Wersje Adobe Commerce 2.4.6-p1 (i wcześniejsze), 2.4.5-p3 (i wcześniejsze) oraz 2.4.4-p4 (i wcześniejsze) są podatne na lukę związaną z nieprawidłową autoryzacją, co może prowadzić do obejścia funkcji zabezpieczeń. Atakujący o niskich uprawnieniach może wykorzystać tę podatność do uzyskania dostępu do danych innych użytkowników.

W panelach internetowych serii WP 6xxx firmy PHOENIX CONTACT w wersjach przed 4.0.10, uwierzytelniony zdalny atakujący z uprawnieniami administratora może odczytać zakodowane klucze kryptograficzne, co pozwala na odszyfrowanie hasła logowania do aplikacji internetowej.

W panelach internetowych serii WP 6xxx firmy PHOENIX CONTACT w wersjach przed 4.0.10, zdalny atakujący z niskimi uprawnieniami może uzyskać ograniczony dostęp do systemu plików urządzenia poprzez dialog konfiguracyjny w wbudowanej przeglądarce Qt.

W panelach internetowych serii WP 6xxx firmy PHOENIX CONTACT w wersjach przed 4.0.10, zdalny atakujący o niskich uprawnieniach może uzyskać ograniczony dostęp do systemu plików urządzenia wbudowanej przeglądarki Qt.

Wtyczka FULL - Customer dla WordPressa jest podatna na ujawnienie informacji poprzez trasę REST /health w wersjach do 2.2.3 włącznie, z powodu niewłaściwej autoryzacji. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta i wyżej uzyskanie wrażliwych informacji o konfiguracji witryny.

W podatności CVE-2023-38752 występuje niewłaściwa autoryzacja w systemie Special Interest Group Network for Analysis and Liaison w wersjach od 4.4.0 do 4.7.7, co pozwala autoryzowanym użytkownikom API na przeglądanie informacji o atrybutach posterów oznaczonych jako 'niedostępne'.

W podatności CVE-2023-38751 występuje niewłaściwa autoryzacja w wersjach 4.4.0 do 4.7.7 Special Interest Group Network for Analysis and Liaison, co pozwala autoryzowanym użytkownikom API na przeglądanie informacji o organizacji, która została ustawiona jako 'niedostępna' w operacji udostępniania informacji.

OpenTelemetry Java Instrumentation przed wersją 1.28.0 ma problem z instrumentacją aplikacji Java korzystających z AWS SDK v2 i Amazon Simple Email Service (SES) v1 API. W przypadku instrumentacji żądań POST do SES, parametry zapytania są wstawiane do pola `url.path`, co prowadzi do ujawnienia treści e-maila w metadanych telemetrycznych.

W SDK klienta Zoom dla systemu Windows przed wersją 5.15.0 występuje przechowywanie w postaci niezaszyfrowanej wrażliwych informacji, co może umożliwić uwierzytelnionemu użytkownikowi ujawnienie informacji poprzez lokalny dostęp.

Nieprawidłowa walidacja danych wejściowych w kliencie Zoom Desktop dla systemu Windows przed wersją 5.15.5 może umożliwić uwierzytelnionemu użytkownikowi ujawnienie informacji poprzez dostęp do sieci.

W systemach Samsung NFC S3NRN4V, S3NSN4V, S3NSEN4, SEN82AB oraz S3NRN82 odkryto problem związany z kopiowaniem bufora bez sprawdzania rozmiaru wejściowego, co może prowadzić do restartu usługi NFC.

Alteryx Server 2022.1.1.42590 nie weryfikuje typów przesyłanych plików. Luka umożliwia atakującym przesyłanie dowolnych plików (np. JavaScript dla trwałego XSS) przez pole 'type' w dokumencie JSON w żądaniu PUT /gallery/api/media.

Projekt social-media-skeleton, stworzony w PHP, MySQL, CSS, JavaScript i HTML, zawiera podatność na przechowywane ataki XSS w wersjach od 1.0.0 do 1.0.3. Problem został naprawiony w wersji 1.0.3.

Podatność w ASP.NET Core SignalR oraz Visual Studio umożliwia ujawnienie informacji. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych danych.

Użytkownicy jackson-dataformats-text do analizy danych TOML mogą być narażeni na ataki typu Denial of Service (DOS). Jeśli parser działa na danych dostarczonych przez użytkownika, atakujący może dostarczyć treść, która spowoduje awarię parsera przez przepełnienie stosu.

W klientach Zoom przed wersją 5.14.10 występuje problem z egzekwowaniem zabezpieczeń po stronie serwera, co może umożliwić uprzywilejowanemu użytkownikowi ujawnienie informacji poprzez dostęp do sieci.

Nieprawidłowa walidacja danych wejściowych w Zoom SDK przed wersją 5.14.10 może umożliwić nieautoryzowanemu użytkownikowi wywołanie ataku typu denial of service poprzez dostęp do sieci.

Podatność w Microsoft Message Queuing (MSMQ) umożliwia atakującym zdalne wywołanie błędu, co prowadzi do odmowy usługi. Wykorzystanie tej luki może spowodować, że usługa MSMQ przestanie odpowiadać na żądania.

Podatność w Azure Apache Hadoop umożliwia atakującym podszywanie się pod inne usługi, co może prowadzić do nieautoryzowanego dostępu do danych.

Podatność w serwerze zarządzania zasobami kart inteligentnych Windows umożliwia obejście zabezpieczeń. Atakujący może wykorzystać tę lukę, aby uzyskać dostęp do funkcji, które powinny być chronione.