Katalog podatności CVE

Dell Display and Peripheral Manager (DDPM Windows) przed wersją 2.3.0.17 zawiera podatność na obejście uwierzytelniania przez spoofing. Atakujący z niskimi uprawnieniami i lokalnym dostępem może potencjalnie wykorzystać tę podatność, prowadząc do eskalacji uprawnień i dowolnego wykonania kodu.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na przypisanie użycia AI do innej przestrzeni nazw z powodu niewłaściwej autoryzacji informacji o tożsamości dostarczanych w żądaniach.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnego kodu skryptowego z powodu nieprawidłowej neutralizacji danych wprowadzanych przez użytkownika.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniach OS.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na ominięcie zabezpieczeń z powodu nieprawidłowej walidacji nazwy profilu użytkownika dostarczonej przez atakującego.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji metaznaków powłoki.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 jest podatny na wstrzykiwanie SQL. Zdalny atakujący może wysłać specjalnie spreparowane zapytania SQL, co może pozwolić na przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie podwyższonych uprawnień z powodu nieprawidłowej walidacji nazwy profilu dostarczonej przez klienta.

GitLab EE w wersjach od 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2 ma naprawioną lukę, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na modyfikację ustawień projektu zastrzeżonych dla ról z wyższymi uprawnieniami, z powodu braku kontroli autoryzacji na punkcie końcowym aktualizacji projektu.

GitLab CE/EE w wersjach od 18.2 przed 19.0.6, 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2 ma naprawioną lukę, która w określonych warunkach mogła pozwolić na cross-site scripting z powodu nieprawidłowej neutralizacji danych kontrolowanych przez użytkownika renderowanych w treści komórek tabeli przez komponent pulpitu analitycznego.

GitLab CE/EE w wersjach od 18.2 przed 19.0.6, 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2 ma naprawioną lukę, która w określonych warunkach mogła pozwolić na cross-site scripting z powodu nieprawidłowej neutralizacji danych kontrolowanych przez użytkownika renderowanych w elementach paginacji przez komponent pulpitu analitycznego.

IBM Informix oninit sq_sgkprepare ma lukę zdalnego wykonania kodu (RCE) z powodu niesprawdzonego pola długości w interfejsie SQL.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) umożliwiają uwierzytelnionemu użytkownikowi uzyskanie uprawnień innego użytkownika poprzez specjalnie spreparowane żądanie.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) umożliwiają administratorowi wykonanie dodatkowych poleceń, do których nie jest uprawniony, z powodu nieprawidłowej walidacji danych wprowadzanych przez użytkownika.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) umożliwiają zdalnemu atakującemu dostęp do wrażliwych informacji z powodu niespójnej interpretacji żądania HTTP przez odwrotne proxy.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) zawierają podatność walidacji danych wejściowych w interfejsie zarządzania, która umożliwia już uprzywilejowanym atakującym wykonanie dodatkowych operacji poprzez spreparowane żądanie HTTP.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) zawierają podatność wstrzykiwania ciągu formatującego w interfejsie zarządzania, która umożliwia atakującym spowodowanie odmowy usługi i ujawnienie informacji poprzez spreparowane żądanie HTTP.

IBM Security Verify Access oraz IBM Verify Identity Access (w tym wersja kontenerowa) w niektórych konfiguracjach odwrotnego proxy mogą zapewniać słabszą niż oczekiwano walidację kryptograficzną danych dostarczanych przez użytkownika.

Brak autoryzacji w API Execute Monitor wtyczki Alerting w Amazon OpenSearch może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na odczyt, modyfikację lub usunięcie dowolnych danych indeksu poprzez spreparowane żądanie monitora inline z niezamierzonymi parametrami źródła danych i indeksu wejściowego.

Brak walidacji danych wejściowych w parserze feedów informacji o zagrożeniach we wtyczce Security Analytics w OpenSearch może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na wykonanie ataku SSRF (Server-Side Request Forgery) i odczyt lokalnych plików poprzez spreparowany parametr URL w punkcie konfiguracji źródła informacji o zagrożeniach.