Katalog podatności CVE

Wykryto podatność w urządzeniu D-Link DI-8100 w wersji 16.07.26A1, która dotyczy funkcji tgfile_htm w pliku tgfile.htm komponentu CGI Endpoint. Manipulacja argumentem fn prowadzi do przepełnienia bufora, co może być wykorzystane zdalnie.

W urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521 odkryto lukę bezpieczeństwa. Problem dotyczy funkcji setWiFiEasyGuestCfg w pliku /cgi-bin/cstecgi.cgi, która umożliwia wstrzyknięcie poleceń systemowych poprzez manipulację argumentem merge.

Zidentyfikowano podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji setRadvdCfg w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem maxRtrAdvInterval prowadzi do wstrzyknięcia poleceń systemowych.

W Totolink A8000RU w wersji 7.1cu.643_b20200521 zidentyfikowano podatność w funkcji setOpenVpnClientCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem 'enabled' może prowadzić do wstrzyknięcia poleceń systemowych, co może być przeprowadzone zdalnie.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setWiFiBasicCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem wifiOff prowadzi do zdalnej iniekcji poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setVpnAccountCfg w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem User prowadzi do wstrzyknięcia poleceń systemowych.

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 stwierdzono podatność na wstrzyknięcie komend systemu operacyjnego w funkcji setPptpServerCfg w pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem enable. Exploit został publicznie ujawniony.

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 stwierdzono podatność na wstrzyknięcie komend systemu operacyjnego w funkcji setUrlFilterRules w pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem enable. Exploit został publicznie ujawniony.

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 stwierdzono podatność na wstrzyknięcie komend systemu operacyjnego w funkcji setWiFiWpsStart w pliku /cgi-bin/cstecgi.cgi. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem wscDisabled. Exploit został publicznie ujawniony.

Niektóre wersje oprogramowania układowego kamer Milesight AIOT wykorzystują certyfikaty SSL z domyślnymi kluczami prywatnymi. To może prowadzić do poważnych luk w bezpieczeństwie, umożliwiając nieautoryzowany dostęp do urządzeń.

Spring Boot w wersjach 4.0.0–4.0.5 ma nieskuteczną domyślną ochronę webową, co pozwala na nieautoryzowany dostęp do wszystkich endpointów. Podatność dotyczy aplikacji serwletowych bez własnej konfiguracji Spring Security, używających spring-boot-actuator-autoconfigure i bez spring-boot-health.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji CsteSystem w pliku /cgi-bin/cstecgi.cgi, gdzie manipulacja argumentem HTTP prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU 7.1cu.643_b20200521, która dotyczy funkcji setLoginPasswordCfg w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem admpass prowadzi do wstrzyknięcia poleceń systemowych.

Zidentyfikowano słabość w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji setAdvancedInfoShow w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem tty_server może prowadzić do wstrzyknięcia poleceń systemowych.

W systemie NASA Earth Observing System Data and Information System (EOSDIS) MODAPS w wersji 8.1 odkryto podatność na wstrzykiwanie SQL w parametrze kategorii.

W urządzeniu Totolink A8000RU 7.1cu.643_b20200521 odkryto lukę bezpieczeństwa w funkcji setMiniuiHomeInfoShow w pliku /cgi-bin/cstecgi.cgi. Manipulacja argumentem sys_info prowadzi do wstrzyknięcia poleceń systemowych, co umożliwia zdalne przeprowadzenie ataku.

Zidentyfikowano podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521. Problem dotyczy funkcji setTelnetCfg w pliku /cgi-bin/cstecgi.cgi, co prowadzi do możliwości wstrzyknięcia poleceń systemowych poprzez manipulację argumentem telnet_enabled.

Kamera IP MERCURY MIPC252W w wersji 1.0.5 Build 230306 Rel.79931n zawiera lukę w zabezpieczeniach związaną z niewłaściwą autoryzacją w usłudze RTSP. Po pomyślnej autoryzacji Digest w początkowym żądaniu DESCRIBE, urządzenie nie weryfikuje parametru odpowiedzi Digest w kolejnych żądaniach RTSP w tej samej sesji.

W urządzeniu Tenda AC18 w wersji V15.03.05.05_multi występuje podatność na wstrzykiwanie poleceń. Problem dotyczy interfejsu /goform/SetSambaCfg, gdzie niewłaściwe przetwarzanie parametru guestuser umożliwia atakującym wykonywanie dowolnych poleceń systemowych.

Wykryto podatność w urządzeniu Totolink A8000RU w wersji 7.1cu.643_b20200521, która dotyczy funkcji CsteSystem w pliku /cgi-bin/cstecgi.cgi komponentu CGI Handler. Manipulacja argumentem HTTP prowadzi do zdalnego wstrzyknięcia poleceń systemowych.