Katalog podatności CVE

W przeglądarce Firefox, gdy skonfigurowano blokowanie przechowywania wszystkich ciasteczek, istniała możliwość przechowywania danych w localstorage za pomocą iframe z źródłem 'about:blank'. To mogło prowadzić do przechowywania danych śledzących przez złośliwe strony bez zgody użytkownika.

Seria TN-5900 w wersji 3.3 i wcześniejszych jest podatna na lukę umożliwiającą enumerację użytkowników. Luka ta może pozwolić zdalnemu atakującemu na ustalenie, czy dany użytkownik jest ważny podczas odzyskiwania hasła przez stronę logowania.

Strona internetowa może uniemożliwić użytkownikowi wyjście z trybu pełnoekranowego za pomocą wywołań alert i prompt. Może to prowadzić do dezorientacji użytkownika oraz potencjalnych ataków spoofingowych. Ta podatność dotyczy przeglądarki Firefox w wersjach poniżej 115.

Podatność umożliwia atakującemu oszukanie użytkownika w celu przesłania wrażliwych danych na złośliwą stronę internetową poprzez przesyłanie plików zawierających symlinki. Dotyczy to przeglądarki Firefox w wersjach poniżej 115.

Użycie znaków RTL w języku arabskim w pasku adresu mogło umożliwić spoofing URL. Ta podatność dotyczy przeglądarki Firefox w wersjach poniżej 115.

Podatność w przeglądarce Firefox (< 115) pozwala na ukrycie powiadomienia o trybie pełnoekranowym poprzez użycie elementu option, co może prowadzić do opóźnień spowodowanych kosztowną funkcją obliczeniową. Może to prowadzić do dezorientacji użytkowników oraz potencjalnych ataków spoofingowych.

Podatność pozwalała na zatarcie powiadomienia o trybie pełnoekranowym przez użycie adresu URL obsługiwanego przez zewnętrzny program, co mogło prowadzić do dezorientacji użytkowników oraz potencjalnych ataków spoofingowych.

Użycie TikaEncodingDetector w Apache Any23 może prowadzić do nadmiernego zużycia pamięci.

Zoho ManageEngine ADManager Plus w wersjach przed 7183 pozwala użytkownikom z uprawnieniami administratora wykorzystać problem XXE do przeglądania plików.

Bouncy Castle dla Javy przed wersją 1.74 jest podatny na atak typu LDAP injection. Podatność ta dotyczy aplikacji, które wykorzystują LDAP CertStore z Bouncy Castle do walidacji certyfikatów X.509, gdzie nazwa podmiotu certyfikatu jest wstawiana do filtru wyszukiwania LDAP bez odpowiedniego zabezpieczenia.

Wykryto krytyczną podatność w SmartWeb Infotech Job Board w wersji 1.0, dotyczącą nieznanej funkcjonalności pliku /settings/account w komponencie Moja strona profilowa. Manipulacja argumentem filename prowadzi do nieograniczonego przesyłania plików.

Wykryto krytyczną podatność w aplikacji SourceCodester Shopping Website 1.0, związaną z nieznaną funkcjonalnością pliku insert-product.php. Manipulacja tą funkcjonalnością prowadzi do nieograniczonego przesyłania plików.

W systemie SourceCodester Shopping Website w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcji w pliku search-result.php. Manipulacja argumentem 'product' prowadzi do ataku typu SQL injection.

Wtyczka Protect WP Admin dla WordPressa w wersjach przed 4.0 ujawnia adres URL panelu administracyjnego poprzez przekierowanie z wykorzystaniem spreparowanego adresu URL, omijając oferowaną ochronę.

Wszystkie wersje narzędzia konfiguracyjnego TWinSoft przechowują zaszyfrowane hasła w pamięci jako tekst jawny. Atakujący z dostępem do plików systemowych może otworzyć plik, aby załadować dokument do pamięci, w tym wrażliwe informacje, takie jak hasło.

Podatne urządzenia TBox RTU umożliwiają użytkownikom o niskich uprawnieniach dostęp do tokenów bezpieczeństwa o wyższych uprawnieniach. Atakujący z uprawnieniami 'użytkownika' może uzyskać dostęp do plików wymagających wyższych uprawnień poprzez nawiązanie sesji SSH i dostarczenie innych tokenów.

Podatne urządzenia TBox RTU generują tokeny bezpieczeństwa oprogramowania przy użyciu niewystarczającej entropii. Ziarno losowe używane do generowania tokenów nie jest poprawnie inicjowane, a inne części tokenu są generowane na podstawie przewidywalnych wartości czasowych.

W Maxsite CMS w wersji 108.7 występuje podatność typu Cross Site Scripting, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr f_content w pliku admin/page_new.

Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.

Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.