Katalog podatności CVE

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 18.5 przed 19.0.6, 19.1 przed 19.1.4 i 19.2 przed 19.2.2, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi z powodu nieprawidłowej walidacji danych wejściowych.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji i ominięcie zabezpieczeń z powodu wyścigu (race condition).

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 17.7 przed 19.0.6, 19.1 przed 19.1.4 i 19.2 przed 19.2.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na przeglądanie ograniczonych ustawień konfiguracji z powodu nieprawidłowych kontroli autoryzacji na stronie ustawień grupy.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej neutralizacji specjalnych elementów w parametrze SQL.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na modyfikację tabel SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu SQL.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej walidacji tokena sesji.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowego ograniczenia ścieżki do katalogu zastrzeżonego.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na modyfikację danych w niektórych tabelach SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu SQL.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na dodanie nieoczekiwanych parametrów do polecenia z powodu wstrzyknięcia parametrów.

Framework Microsoft UFO przed wersją 3.0.8 nie blokuje prefiksów NAT64, 6to4 i Teredo oraz nie sprawdza ponownie osadzonych adresów IPv4, co pozwala zdalnemu atakującemu ominąć zabezpieczenie SSRF i uzyskać dostęp do metadanych chmury, wewnętrznych usług lub localhost.

Material for MkDocs w wersjach od 7.2.0 do 9.7.7 zawiera podatność DOM-based XSS w funkcji mountSearchSuggest, która pozwala na wykonanie JavaScriptu w kontekście strony dokumentacji po interakcji użytkownika z odpowiednio spreparowanym parametrem q.

Niebezpieczny bezpośredni odwołanie do obiektu (IDOR) z powodu braku kontroli uprawnień dla wielu typów Artifact w Apache Allura przed wersją 1.19.1.

Podatność XSS w wyświetlaniu kodu w Apache Allura przed wersją 1.19.1.

Podatność XSS w obsłudze Markdown w Apache Allura od wersji 1.10.0 przed 1.19.1.

Nagios Core przed 4.5.14 i Nagios XI przed 2026R1.7 są podatne na DOM-based XSS w jsonquery.js, gdzie niekodowane wartości JSON odzwierciedlane z pól przechowywanych są wstawiane do DOM bez sanityzacji, umożliwiając atakującemu wykonanie dowolnego JavaScriptu w przeglądarce ofiary.

Nagios Core przed 4.5.14 i Nagios XI przed 2026R1.7 są podatne na odzwierciedlone XSS w cmd.cgi przez parametr NagFormId. Zdalny nieuwierzytelniony atakujący może stworzyć złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika wykonuje dowolny JavaScript w jego przeglądarce.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej autoryzacji.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji z powodu nieprawidłowej walidacji ścieżek podanych przez użytkownika.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie wrażliwych informacji i manipulowanie plikami z powodu podatności na path traversal.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 jest podatny na przechowywane XSS. Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.