Katalog podatności CVE

IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.

IBM DataStage on Cloud Pak for Data 5.4.0.0 ujawnia wrażliwe informacje nieupoważnionemu podmiotowi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania poufnych danych.

IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki, która może prowadzić do odmowy usługi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do zakłócenia działania usługi.

IBM DataStage on Cloud Pak for Data 5.4.0.0 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu systemu operacyjnego.

IBM Aspera Enterprise WebApps 1.0.0 do 1.0.6 może pozwolić lokalnemu atakującemu na uzyskanie podwyższonych uprawnień z powodu błędnie skonfigurowanej zmiennej środowiskowej PATH.

Podatność w IBM Aspera Enterprise WebApps w wersjach 1.0.0 do 1.0.6 umożliwia lokalnemu atakującemu uzyskanie poufnych informacji z powodu nadmiernych uprawnień przypisanych do konta usługi.

IBM Aspera Enterprise WebApps 1.0.0 do 1.0.6 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu niekontrolowanego zużycia zasobów.

Podatność w IBM Aspera Enterprise WebApps w wersjach 1.0.0 do 1.0.6 umożliwia zdalnemu atakującemu uzyskanie poufnych informacji z powodu ujawnienia plików źródłowych JavaScript (source map files).

IBM Planning Analytics 2.0 i 2.1 zawiera podatność polegającą na niewłaściwym kodowaniu danych wyjściowych, co umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript.

IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na przemieszczanie się po katalogach systemu. Atakujący może wysłać specjalnie spreparowane żądanie URL zawierające sekwencje 'dot dot' (/../) w celu zapisu dowolnych plików w systemie.

IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików hosta i nadpisywanie niektórych plików aplikacji z powodu nieprawidłowej walidacji ścieżek plików.

IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na ominięcie uwierzytelniania i eskalację uprawnień z powodu nieprawidłowej walidacji pod-żądań.

IBM Planning Analytics 2.0 i 2.1 może pozwolić zdalnemu atakującemu na uzyskanie nieautoryzowanego dostępu administracyjnego z powodu nieprawidłowego uwierzytelniania.

IBM Planning Analytics 2.0 i 2.1 jest podatny na trwały cross-site scripting (stored XSS). Uwierzytelniony użytkownik może osadzić dowolny kod JavaScript w interfejsie webowym, co zmienia zamierzone działanie aplikacji.

IBM Planning Analytics w wersjach 2.0 i 2.1 zawiera błąd kontroli dostępu na poziomie funkcjonalnym. Uwierzytelniony zdalny atakujący może usuwać foldery i aplikacje należące do innych użytkowników.

Frappe Suite przed commitem 2697564a9c46da6acc614743eaf9915fe5238f4f zawiera podatność broken access control w API get_mailboxes i get_quota, która pozwala uwierzytelnionym użytkownikom poczty na dostęp do danych innych użytkowników.

Frappe ERPNext przed 15.98.0 oraz 16.x przed 16.6.0 zawiera podatność SQL injection w niektórych endpointach spowodowaną brakiem walidacji danych wejściowych.

Frappe ERPNext przed wersją 15.103.0 oraz 16.x przed 16.12.0 zawiera podatność typu stored XSS, ponieważ nazwy niektórych rekordów nie są prawidłowo neutralizowane podczas renderowania na niektórych pulpitach, narzędziach i portalach. Uwierzytelniony atakujący może tworzyć złośliwe nazwy rekordów, które wykonują skrypty w przeglądarkach innych użytkowników.

Frappe ERPNext przed 15.118.0 oraz 16.x przed 16.27.0 zawiera podatność braku autoryzacji w niektórych endpointach, które nie egzekwują właściwych kontroli uprawnień.

Frappe ERPNext przed wersją 15.113.0 oraz 16.x przed 16.24.0 zawiera podatność typu stored XSS w polu profilu, które jest renderowane bez escapowania na stronach portalu. Atakujący z niskimi uprawnieniami może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora przeglądającego te strony.