Katalog podatności CVE

Wersje 3.3.2 i 3.3.3 funadmin są podatne na niebezpieczne przesyłanie plików poprzez instalację wtyczek.

W Onlyoffice Community Server przed wersją 12.5.2 odkryto podatność na zdalne wykonanie kodu (RCE) w komponencie UploadProgress.ashx.

W Jeesite przed commitem 10742d3 odkryto podatność na wstrzyknięcie SQL poprzez komponent ${businessTable} w /act/ActDao.xml.

Podatność w SiLabs Unify Gateway 1.3.1 i wcześniejszych umożliwia nieautoryzowanemu atakującemu w zasięgu Z-Wave przepełnienie bufora stosu, co prowadzi do wykonania dowolnego kodu.

Projekt systemu rejestracji Sourcecodester V1.0 jest podatny na ataki SQL Injection (SQLI), co pozwala atakującemu na manipulację zapytaniami SQL wykonywanymi przez aplikację. Aplikacja nieprawidłowo waliduje dane wejściowe dostarczane przez użytkownika w polach nazwy użytkownika i hasła podczas procesu logowania.

W Apache Accumulo 2.1.0 występuje podatność związana z niewłaściwą autoryzacją, która może pozwolić na pomyślne uwierzytelnienie przy użyciu nieprawidłowych danych logowania. Użytkownicy powinni zaktualizować do wersji 2.1.1.

Oprogramowanie układowe Netgear R6250 w wersji 1.0.4.48 jest podatne na przepełnienie bufora po uwierzytelnieniu.

CloudPanel 2 w wersjach przed 2.3.1 ma niebezpieczną autoryzację ciasteczek w menedżerze plików.

XWiki Platform to ogólna platforma wiki, która umożliwia wykonywanie dowolnej zawartości wiki z uprawnieniami autora TipsPanel poprzez stworzenie rozszerzenia UI tip. Problem ten został naprawiony w wersjach XWiki 15.1-rc-1 oraz 14.10.5.

Adiscon LogAnalyzer w wersji 4.1.13 i wcześniejszych jest podatny na atak typu SQL Injection.

Langchain w wersji 0.0.171 jest podatny na wykonanie dowolnego kodu w funkcji load_prompt.

Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.

W aplikacji Notepad występuje podatność związana z niewłaściwą kontrolą uprawnień. Skuteczne wykorzystanie tej podatności może prowadzić do eskalacji uprawnień, co wpływa na dostępność i poufność.

W podatności CVE-2023-2907 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w aplikacji Marksoft.

W przeglądarce Firefox w wersji 113 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazują oznaki uszkodzenia pamięci i istnieje przypuszczenie, że przy wystarczającym wysiłku mogłyby zostać wykorzystane do uruchomienia dowolnego kodu.

W przeglądarkach Firefox 113, Firefox ESR 102.11 oraz Thunderbird 102.12 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów mogą prowadzić do uszkodzenia pamięci, co potencjalnie umożliwia wykonanie dowolnego kodu.

Znak nowej linii w nazwie pliku mógł zostać użyty do obejścia mechanizmów bezpieczeństwa rozszerzeń plików, które zastępują złośliwe rozszerzenia (np. .lnk) na .download. Mogło to doprowadzić do przypadkowego wykonania złośliwego kodu. Podatność dotyczy Firefoksa i Thunderbirda na systemie Windows w wersjach Firefox < 112, Firefox ESR < 102.10 i Thunderbird < 102.10.

W Firefoksie i Focus dla Androida odkryto techniki umożliwiające ukrycie powiadomienia o pełnym ekranie, co mogło prowadzić do dezorientacji użytkownika i ataków typu spoofing. Problem dotyczy wersji Firefox dla Androida i Focus dla Androida starszych niż 112.

Atakujący może spowodować dostęp do pamięci poza granicami przy użyciu interfejsów API WebGL, prowadząc do uszkodzenia pamięci i potencjalnie wykorzystywalnej awarii. Podatność dotyczy tylko Firefoksa i Thunderbirda na systemie macOS; inne systemy operacyjne są nienaruszone. Dotyczy Firefoksa < 112, Firefox ESR < 102.10 i Thunderbirda < 102.10.