Katalog podatności CVE

Wtyczka Jenkins Docker Swarm w wersji 1.11 i wcześniejszych nie ucieka wartości zwracanych z Dockera przed ich wstawieniem do widoku Dashboard Docker Swarm, co prowadzi do podatności na przechowywane ataki XSS.

Wtyczka Gogs dla Jenkins w wersji 1.0.15 i wcześniejszych nieprawidłowo inicjalizuje opcję zabezpieczającą swój punkt końcowy webhook, co pozwala nieautoryzowanym atakującym na uruchamianie zadań budowy.

Punkt końcowy webhooka w wtyczce Gogs dla Jenkins w wersji 1.0.15 i wcześniejszych ujawnia nieautoryzowanym atakującym informacje o istnieniu zadań w swoim wyjściu.

Wtyczka Jenkins Maven Artifact ChoiceListProvider (Nexus) w wersji 1.14 i wcześniejszych nie ustawia odpowiedniego kontekstu dla wyszukiwania poświadczeń, co pozwala atakującym z uprawnieniami Item/Configure na dostęp do poświadczeń, do których nie mają prawa.

Wtyczka Jenkins Shortcut Job w wersji 0.4 i wcześniejszych nie zabezpiecza URL przekierowania skrótu, co prowadzi do podatności na przechowywane ataki typu cross-site scripting (XSS), które mogą być wykorzystywane przez atakujących mogących konfigurować zadania skrótu.

Wtyczka Delphix dla Jenkins w wersji 3.0.2 i wcześniejszych nie ustawia odpowiedniego kontekstu dla wyszukiwania poświadczeń, co umożliwia atakującym z uprawnieniami Overall/Read dostęp do poświadczeń, do których nie mają prawa.

Brak weryfikacji uprawnień w wtyczce Delphix dla Jenkins w wersji 3.0.2 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read enumerację identyfikatorów poświadczeń przechowywanych w Jenkins.

Wtyczka uwierzytelniania Tuleap dla Jenkins w wersji 1.1.20 i wcześniejszych wykorzystuje funkcję porównania, która nie działa w stałym czasie podczas walidacji tokena uwierzytelniającego. To umożliwia atakującym zastosowanie metod statystycznych do uzyskania ważnego tokena uwierzytelniającego.

Wtyczka Jenkins Flaky Test Handler w wersji 1.2.2 i wcześniejszych nie zabezpiecza zawartości testów JUnit wyświetlanych w interfejsie Jenkins, co prowadzi do podatności na przechowywane ataki XSS.

Wtyczka Jenkins Folders w wersji 6.846.v23698686f0f6 i wcześniejszych wyświetla komunikat o błędzie zawierający absolutną ścieżkę do pliku dziennika, gdy próbuje uzyskać dostęp do dziennika skanowania folderu organizacji, jeśli brak jest dostępnych dzienników.

Wtyczka Jenkins Folders w wersji 6.846.v23698686f0f6 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym kopiowanie widoku wewnątrz folderu.

W Netlify CMS w wersji 2.10.192 występuje podatność typu Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze body funkcji nowego posta.

W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje niezweryfikowana zmiana hasła, co może prowadzić do nieautoryzowanego dostępu.

W aplikacji 'Rikunabi NEXT' na Androida przed wersją 11.5.0 występuje niewłaściwa autoryzacja w obsłudze niestandardowego schematu URL, co pozwala złośliwemu zamiarowi na skierowanie aplikacji do dostępu do dowolnej strony internetowej.

Wtyczka WP Remote Users Sync dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich dodawanie z powodu braku weryfikacji uprawnień w funkcjach 'refresh_logs_async' w wersjach do 1.2.11 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi przeglądanie logów.

Brak szyfrowania w znaczniku RFID zamka Etekcity 3-w-1 Smart Door Lock v1.0 umożliwia atakującym stworzenie sklonowanego znacznika poprzez krótką fizyczną bliskość do oryginalnego urządzenia.

Interfejs webowy kontrolera RAID firmy Broadcom nie wymusza kolejności szyfrów SSL przez serwer, co może prowadzić do potencjalnych luk w zabezpieczeniach.

Interfejs webowy kontrolera RAID firmy Broadcom jest podatny na ujawnienie wrażliwych danych, a klucze używane do szyfrowania są dostępne dla każdego lokalnego użytkownika w systemie Windows.

Interfejs webowy kontrolera RAID firmy Broadcom jest podatny na ujawnienie wrażliwych danych, a klucze używane do szyfrowania są dostępne dla każdego lokalnego użytkownika w systemie Linux.

Niewystarczające egzekwowanie polityki w API rozszerzeń w Google Chrome przed wersją 116.0.5845.96 umożliwia atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, obejście polityki przedsiębiorstwa za pomocą spreparowanej strony HTML.