Katalog podatności CVE

Nieprawidłowe ograniczenie ścieżki w komponencie Ad Hoc Transfer programu Progress Software WS_FTP Server w wersjach przed 2024.0.6 i 2025.0.3 na Windows może pozwolić uwierzytelnionemu użytkownikowi na dostęp do plików poza zamierzonymi katalogami.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na nadpisanie dowolnych plików z powodu nieprawidłowego ograniczenia nazwy ścieżki do katalogu restrykcyjnego.

IBM Langflow OSS w wersjach od 1.0.0 do 1.12.4 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej sanityzacji sekretów podczas eksportu przepływów i projektów.

Zimbra jest podatna na trwały cross-site scripting (XSS) poprzez nagłówek From wiadomości e-mail podczas tworzenia odpowiedzi HTML w Classic UI. Z powodu niewystarczającej sanityzacji wartości nagłówka From zdalny atakujący może wysłać spreparowaną wiadomość z złośliwym nagłówkiem From zawierającym ładunek JavaScript; gdy ofiara otworzy wiadomość w Classic UI i kliknie Odpowiedz w trybie HTML z wyłączonymi nagłówkami odpowiedzi, ładunek wykona się w przeglądarce ofiary, co może pozwolić na kradzież sesji lub działania w imieniu ofiary. Problem naprawiono w wersji 10.1.21.

Zimbra jest podatna na trwały cross-site scripting (XSS) poprzez nagłówek MIME Content-Location w załącznikach e-mail. Z powodu braku sanityzacji nagłówka Content-Location atakujący może ustawić go na URI javascript:. Nieuwierzytelniony zdalny atakujący może wysłać spreparowaną wiadomość do ofiary; gdy ofiara otworzy wiadomość w interfejsie webowym Zimbra i kliknie nazwę załącznika, ładunek JavaScript wykona się w kontekście przeglądarki ofiary. Problem naprawiono w wersji 10.1.21.

Zoho Flow w wersjach do 2.14.5 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.

Gunslinger w wersjach do 1.11 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.

Good Homes w wersjach do 1.3.13 włącznie zawiera podatność na nieuwierzytelnione wstrzyknięcie obiektu PHP, która może pozwolić atakującemu na manipulację obiektami w aplikacji.

Podatność typu PHP Object Injection w motywie/temacie Gamic w wersjach do 1.19 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Gamezone w wersjach do 1.1.11 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie EmojiNation w wersjach do 1.0.12 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Edge Decor w wersjach do 2.9 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Coinpress w wersjach do 1.0.15 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Bonbon w wersjach do 1.11 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Avventure w wersjach do 1.1.12 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Filmax w wersjach do 1.1.11 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Orpheus w wersjach do 1.8 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie/temacie Nuts w wersjach do 1.12 włącznie. Może być wykorzystana bez uwierzytelnienia, co pozwala atakującemu na wstrzyknięcie złośliwego obiektu PHP.

Podatność typu PHP Object Injection w motywie Muzicon w wersjach do 1.15 włącznie. Może być wykorzystana przez nieuwierzytelnionego atakującego.

Podatność typu PHP Object Injection w motywie Motorix w wersjach do 1.11 włącznie. Może być wykorzystana przez nieuwierzytelnionego atakującego.