Katalog podatności CVE

Wielokrotne podatności na wstrzykiwanie SQL w xlinkerz ecommerceMajor umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) productbycat w pliku product.php, lub (2) username lub (3) password w pliku __admin/index.php.

Wielokrotne podatności typu SQL injection w serwlecie FailOverHelperServlet w ZOHO ManageEngine OpManager oraz IT360 umożliwiają zdalnym atakującym oraz zdalnie uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL.

W interfejsie webowym urządzeń SerVision HVG Video Gateway z firmware do wersji 2.2.26a100, użytkownicy zdalni, którzy są uwierzytelnieni, mogą uzyskać podwyższone uprawnienia, wykorzystując ciasteczko otrzymane w odpowiedzi HTTP.

Interfejs webowy urządzeń SerVision HVG Video Gateway z firmware przed wersją 2.2.26a100 zawiera twardo zakodowane hasło administracyjne, co ułatwia zdalnym atakującym uzyskanie dostępu przez sesję HTTP.

W interfejsie webowym urządzeń SerVision HVG Video Gateway z firmware przed wersją 2.2.26a78 występuje podatność, która pozwala zdalnym atakującym na ominięcie uwierzytelnienia i uzyskanie dostępu administracyjnego poprzez wykorzystanie ciasteczka otrzymanego w odpowiedzi HTTP.

ClamAV w wersjach przed 0.98.6 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowany plik pakera upx, związany z warunkiem 'heap out of bounds'.

ClamAV w wersjach przed 0.98.6 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowane pliki Yoda's crypter lub mew packer, związane z warunkiem 'heap out of bounds'.

Przełączniki Huawei Quidway z firmware przed wersją V200R005C00SPC300 są podatne na atak, który pozwala zdalnym napastnikom na uzyskanie uprawnień poprzez odpowiednio skonstruowany pakiet.

Fortinet FortiAuthenticator 3.0.0 posiada domyślne hasła dla użytkowników PostgreSQL, co ułatwia zdalnym atakującym uzyskanie dostępu do systemu.

W Piwigo przed wersją 2.5.6, 2.6.x przed 2.6.5 oraz 2.7.x przed 2.7.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.

Wielokrotne podatności na wstrzykiwanie SQL w Sefrengo przed wersją 1.6.2 umożliwiają zdalnym atakującym wykonanie dowolnych poleceń SQL poprzez ciasteczko sefrengo podczas logowania do backend/main.php lub przez parametr value_id w akcji save_value do backend/main.php.

W podatności CVE-2015-1405 występuje luka typu SQL injection w rozszerzeniu Content Rating Extbase w wersji 2.0.3 i wcześniejszych dla TYPO3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL.

Podatność typu SQL injection w rozszerzeniu Content Rating w wersji 1.0.3 i wcześniejszych dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.

Podatność SQL injection w pliku search.php w NPDS Revolution 13 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr query.

W podatności CVE-2015-1348 występuje przepełnienie bufora w stercie w urządzeniach Aruba Instant (IAP) z firmware przed wersją 4.0.0.7 oraz 4.1.x przed wersją 4.1.1.2. Umożliwia to zdalnym atakującym spowodowanie awarii lub resetu do ustawień fabrycznych poprzez wysłanie źle sformatowanej ramki do interfejsu bezprzewodowego.

Sterownik bdisk.sys w COMODO Backup przed wersją 4.4.1.23 umożliwia zdalnym atakującym uzyskanie uprawnień poprzez spreparowany uchwyt urządzenia, co prowadzi do dereferencji wskaźnika NULL.

Podatność na przejście do katalogu w pliku install.php w FluxBB przed wersją 1.5.8 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików install.php poprzez użycie parametru install_lang z sekwencją .. (kropka kropka).

ClamAV w wersjach przed 0.98.6 pozwala zdalnym atakującym na wywołanie nieokreślonego wpływu poprzez spreparowany plik pakera upack, związany z warunkiem 'heap out of bounds'.

Pexip Infinity przed wersją 8 używa tych samych kluczy hosta SSH w różnych instalacjach klientów, co umożliwia atakującym typu man-in-the-middle podszywanie się pod Węzły Zarządzania i Konferencji.