Katalog podatności CVE

BA-Workflow firmy YS-infoware zawiera podatność na wstrzykiwanie SQL. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać dowolne instrukcje SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.

Wykryto wadę w Ghostscript dostarczanym z Red Hat Enterprise Linux 8. Poprawka dla CVE-2019-14869 została pominięta podczas rebase z wersji 9.25 do 9.27, pozostawiając uprzywilejowane operacje .forceput w procedurze .charkeys niewystarczająco chronione. Przetwarzanie specjalnie spreparowanego pliku PostScript może pozwolić atakującemu na obejście ograniczeń -dSAFER i dostęp do plików poza dozwolonymi ścieżkami lub wykonanie poleceń z uprawnieniami procesu Ghostscript.

W procedurze weryfikacji podpisu występuje błąd logiczny powodujący akceptację nieuwierzytelnionych plików aktualizacji i licencji. Konieczne jest korzystanie wyłącznie z serwerów MyStormshield do pobierania plików aktualizacji lub licencji albo stosowanie automatycznej weryfikacji przez SNS.

Usługa RemoteUserStoreManagerService nieprawidłowo waliduje próby zmiany hasła, gdy włączona jest funkcja weryfikacji historii haseł. Pozwala to atakującemu na wielokrotne próby odgadnięcia hasła bez odpowiednich ograniczeń.

Wtyczka DiviGear Carousel dla WordPress jest podatna na Stored Cross-Site Scripting poprzez akcję AJAX update_license we wszystkich wersjach do 5.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty internetowe do stron.

WebITR firmy Uniong zawiera podatność niezabezpieczonej deserializacji. Uwierzytelniony zdalny atakujący może wykorzystać zaszyty na stałe klucz kryptograficzny do przygotowania i przesłania złośliwych danych serializowanych, a następnie wykonać dowolny kod na serwerze.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Command Injection. Uwierzytelnieni zdalni atakujący mogą wstrzyknąć spreparowane polecenia do określonego parametru, a tym samym przesłać złośliwy kod na serwer.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Local File Inclusion. Uwierzytelnieni zdalni atakujący mogą wykorzystać path traversal, aby zmusić aplikację do dołączenia plików PHP spoza zamierzonego katalogu.

W wersjach LIFF SDK od 2.20.0 do 2.31.0 występuje podatność DOM-based cross-site scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w origin aplikacji LIFF, gdy użytkownik otworzy spreparowany URL w zewnętrznej przeglądarce. Może to prowadzić do ujawnienia tokenów uwierzytelniających lub danych aplikacji, albo nieautoryzowanych działań w sesji użytkownika.

W bibliotece fast-uri (parser URI dla Node.js) w wersjach przed 2.4.8, 3.0.0–3.1.8 i 4.0.0–4.2.2 funkcje serialize(), normalize() lub resolve() z opcją suffix mogą wygenerować względne odwołanie zawierające nieescapowany dwukropek w pierwszym segmencie ścieżki. Może to spowodować ponowne sparsowanie ciągu jako absolutnego URI ze schematem, np. javascript:, data: lub vbscript:.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach przed 2.4.8, od 3.0.0 do 3.1.8 oraz od 4.0.0 do 4.2.2 funkcja fast-uri dekoduje procentowo komponent schematu za pomocą przestarzałej funkcji globalnej unescape() przed walidacją, co może prowadzić do przekształcenia nieaktywnego ciągu w wykonywalny URL javascript, data lub vbscript, tworząc wektor przechowywanego lub odbitego XSS. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach od 2.4.2 do 2.4.7, od 3.1.3 do 3.1.8 oraz od 4.0.1 do 4.2.2 funkcja canonicalizeHost() dla schematów HTTP przekazuje sparsowany host do parsera URL WHATWG i przyjmuje jego nazwę hosta bez sprawdzenia, czy parser zużył całe dane wejściowe jako host, co może prowadzić do cichego przepisania autorytetu. Może to pozwolić na obejście polityk opartych na hoście, takich jak listy blokad, filtrowanie loopback, walidacja przekierowań lub routing proxy. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

W bibliotece fast-uri (parser URI dla Node.js) w wersjach przed 2.4.8, 3.0.0–3.1.8 i 4.0.0–4.2.2 funkcje normalize() i serialize() stosują usuwanie segmentów kropkowych RFC 3986 do ścieżki względnego odwołania, mimo że algorytm ten jest zdefiniowany tylko dla docelowej ścieżki podczas rozwiązywania. W rezultacie wiodący segment katalogu nadrzędnego może zostać usunięty, a odwołanie względne dokumentu może stać się względne wobec katalogu głównego.

W wielu rejestratorach DVR firmy Atsumi Electric Co., Ltd. występuje problem ukrytej funkcjonalności. Użytkownik mogący zalogować się do produktu z uprawnieniami administratora może wykonać dowolne polecenia systemu operacyjnego.

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.27 nie przeprowadza kontroli autoryzacji w kilku akcjach AJAX odczytu zarządzania kontaktami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z rolą tak niską jak subskrybent odczytanie rekordów kontaktów i leadów CRM innych użytkowników, w tym prywatnych notatek aktywności.

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.28 nie ogranicza, które pola oferty są dodawane do publicznego wyjścia REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie szczegółów, które witryna zdecydowała się ukryć w opublikowanych ofertach, takich jak cena wywoławcza, cena sprzedaży, adres ulicy i dokładne współrzędne mapy.

Wtyczka EventON - Subscriber dla WordPress jest podatna na wstrzyknięcie SQL poprzez parametr 'email' we wszystkich wersjach do 1.4.5 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia poufnych informacji z bazy danych.

W wielu rejestratorach DVR firmy Atsumi Electric Co., Ltd. występuje ukryta funkcjonalność. Użytkownik z uprawnieniami administratora może zaktualizować produkt do nieautoryzowanego oprogramowania układowego.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie poleceń IMAP. Zdalny uwierzytelniony atakujący może wykorzystać sekwencje CRLF wstrzyknięte do parametru _uid akcji mail/headers i mail/viewsource, aby wykonać dowolne polecenia IMAP.

W bibliotece RingRTC przed wersją 2.72.0 dla Signala zdalny rozmówca może wysyłać komunikaty wypełniające kolejkę FSM połączenia, co uniemożliwia lokalne zakończenie połączenia wraz z jego ścieżką audio i ewentualnie wideo.