Katalog podatności CVE

InvoiceShelf przed wersją 2.4.1 w instalacjach wielofirmowych pozwala właścicielowi jednej firmy na odczyt i nadpisanie kont użytkowników w innych firmach. Podatność wynika z braku weryfikacji przynależności docelowego użytkownika do firmy właściciela, co umożliwia przejęcie konta.

W sudo stwierdzono podatność związaną z regułami sudoers używającymi ograniczeń czasowych NOTBEFORE lub NOTAFTER, gdy znaczniki czasu nie zawierają końcowego 'Z'. Ocena czasu zależy od zmiennej środowiskowej TZ, którą nieuprzywilejowany użytkownik może ustawić na ekstremalną strefę czasową, przesuwając okno autoryzacji o około 25 godzin, co pozwala na wykonanie poleceń poza zamierzonym przedziałem czasu.

ZohoCorp ManageEngine Applications Manager w wersjach 182000 i niższych umożliwiał użytkownikowi z niskimi uprawnieniami zmianę ustawień proxy.

ZohoCorp ManageEngine Applications Manager w wersjach 182200 i niższych był podatny na problem walidacji uprawnień, który pozwalał użytkownikom z niskimi uprawnieniami na wykonywanie akcji MBean skonfigurowanych przez administratora na monitorach spoza ich zakresu.

ZohoCorp ManageEngine Applications Manager w wersjach 182000 i niższych był podatny na problem walidacji uprawnień, który pozwalał użytkownikowi z niskimi uprawnieniami na usuwanie monitorów usług spoza ich zakresu.

ZohoCorp ManageEngine Applications Manager w wersjach 182000 i niższych pozwalał użytkownikowi z niskimi uprawnieniami na uzyskanie klucza API administratora i wykorzystanie go do wykonywania działań na poziomie administratora.

ZohoCorp ManageEngine Applications Manager w wersjach 182000 i niższych pozwalał użytkownikowi z niskimi uprawnieniami na wykonywanie nieautoryzowanych poleceń SQL, co mogło prowadzić do uzyskania dostępu administratora i zdalnego wykonania kodu.

IBM Financial Transaction Manager (FTM) dla RedHat OpenShift może pozwolić zdalnemu atakującemu na wykonywanie nieautoryzowanych działań płatniczych z powodu braku kontroli autoryzacji.

Podatność polegająca na obejściu polityki bezpieczeństwa w silniku bezpieczeństwa Forcepoint (NGFW). Dotyczy wersji od 7.1.0 do 7.1.13, od 7.3.0 do 7.3.1, 7.3.3, od 7.4.0 do 7.4.1 oraz 7.5.0.

Brak lub nieprawidłowe uwierzytelnianie w pierwszym czynniku uwierzytelniania LDAP Sync w WatchGuard AuthPoint Gateway pozwala zdalnemu atakującemu ominąć weryfikację hasła jednoczynnikowego w niestandardowych warunkach działania. Dodatkowe czynniki uwierzytelniania nadal obowiązują.

Podatność typu wyścig (race condition) w Apache Tomcat Native umożliwia obniżenie wymagań weryfikacji certyfikatu klienta w niektórych konfiguracjach. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.

Podatność nadmiernego odczytu bufora (buffer over-read) w Apache Tomcat Native podczas uzgadniania TLS pozwala złośliwemu użytkownikowi wywołać DoS poprzez awarię JVM. Dotyczy wersji od 2.0.0 do 2.0.15 oraz od 1.3.0 do 1.3.8.

Podatność na ekspozycję danych w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych, występująca w kolektorze syslog Firewall Analyzer.

Podatność na wstrzyknięcie XML w funkcji Rule Tracking Compare Policies w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych.

Podatność na wstrzyknięcie komend w funkcji Diagnose Settings w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.709 i niższych.

Podatność na obejście uwierzytelniania w Zoho ManageEngine OpManager w wersjach 12.8.710 i niższych, gdy włączony jest plugin Application Manager.

Nieprawidłowe obsłużenie niespójności parametru długości w Apache Tomcat umożliwia przemycanie wiadomości WebSocket, gdy używane jest per-message-deflate. Dotyczy wersji od 11.0.0-M1 do 11.0.25, od 10.1.0-M1 do 10.1.59, od 9.0.0.M1 do 9.0.121; znane są również wersje 8.5.0-8.5.100 i 7.0.56-7.0.109.

Podatność na złamanie kontroli dostępu w Zoho ManageEngine OpManager i Firewall Analyzer w wersjach 12.8.710 i niższych, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na modyfikację konfiguracji harmonogramów raportów Change Management dla zapór spoza ich zakresu.

Podatność w ZohoCorp ManageEngine OpManager i Firewall Analyzer (wersje 12.8.710 i starsze) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami tworzenie powiadomień o alertach dla firewalli spoza ich zakresu. Jest to problem z uszkodzoną kontrolą dostępu.

Podatność w ZohoCorp ManageEngine OpManager i Firewall Analyzer (wersje 12.8.710 i starsze) umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami uzyskanie uprawnień administratora poprzez import profilu raportu. Jest to eskalacja uprawnień.