Katalog podatności CVE

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.1 nie ogranicza jednego z punktów końcowych REST do rekordów należących do żądającego użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora odczytać wszystkie rezerwacje na stronie, w tym nazwiska klientów, harmonogramy i statusy.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.

W BusyBox do wersji 1.30.1 wykryto podatność w pliku networking/wget.c, w komponencie FEATURE_WGET_TIMEOUT Handler. Manipulacja argumentem -T prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony, a dostępna jest poprawka (commit 83a40bf7a93c8ac093d33ab452222dd5b9eb57ff).

W Google Chrome przed wersją 151.0.7922.169 występuje użycie niezainicjalizowanego zasobu w komponencie GPU, które pozwala zdalnemu atakującemu, który wcześniej przejął proces renderowania, na odczyt pamięci poza piaskownicą za pomocą spreparowanej strony HTML. Problem ma wysoki poziom zagrożenia.

Podatność w produkcie Helidon firmy Oracle Fusion Middleware (komponent: Imperative Web Server). Dotyczy wersji 1.4.20. Trudna do wykorzystania, pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na naruszenie Helidon. Udane ataki mogą skutkować nieautoryzowaną aktualizacją, wstawianiem lub usuwaniem niektórych danych dostępnych w Helidon. CVSS 3.1 Base Score 3.7 (wpływ na integralność).

Podatność w produkcie Oracle Hyperion Financial Management (komponent: Security). Dotyczy wersji 11.2.25.0.000. Trudna do wykorzystania, pozwala atakującemu z wysokimi uprawnieniami i dostępem lokalnym na częściową odmowę usługi (partial DOS) w Oracle Hyperion Financial Management. CVSS 3.1 Base Score 1.9 (wpływ na dostępność).

Podatność w produkcie Oracle Hyperion Financial Management (komponent: Security). Dotyczy wersji 11.2.25.0.000. Trudna do wykorzystania, pozwala atakującemu z wysokimi uprawnieniami i dostępem lokalnym na nieautoryzowaną aktualizację, wstawianie lub usuwanie niektórych danych oraz nieautoryzowany odczyt podzbioru danych. CVSS 3.1 Base Score 3.0 (wpływ na poufność i integralność).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core). Dotyczy wersji 7.2.14. Łatwa do wykorzystania, pozwala atakującemu z wysokimi uprawnieniami i dostępem lokalnym na nieautoryzowaną aktualizację, wstawianie lub usuwanie niektórych danych oraz nieautoryzowany odczyt podzbioru danych. CVSS 3.1 Base Score 3.4 (wpływ na poufność i integralność).

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący bez uwierzytelnienia, mający dostęp do infrastruktury, może uzyskać nieautoryzowany odczyt części danych. Wymaga interakcji użytkownika.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący z wysokimi uprawnieniami, mający dostęp do infrastruktury, może uzyskać nieautoryzowany odczyt części danych. Wymaga interakcji użytkownika i jest trudna do wykorzystania.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący z niskimi uprawnieniami, mający dostęp do infrastruktury, może uzyskać nieautoryzowany odczyt części danych. Trudna do wykorzystania.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący z wysokimi uprawnieniami, mający dostęp do infrastruktury, może uzyskać nieautoryzowaną modyfikację, wstawianie lub usuwanie części danych. Trudna do wykorzystania.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący bez uwierzytelnienia, mający dostęp do fizycznego segmentu komunikacyjnego, może uzyskać nieautoryzowaną modyfikację, wstawianie, usuwanie oraz odczyt części danych. Wymaga interakcji użytkownika i jest trudna do wykorzystania.

Podatność w produkcie Oracle Agile PLM MCAD Connector (komponent CAX Client) w wersji 3.6. Atakujący z niskimi uprawnieniami, mający dostęp do infrastruktury, może spowodować częściową odmowę usługi (partial DoS). Łatwa do wykorzystania.

Podatność w produkcie Oracle Hyperion Infrastructure Technology (komponent: Instalacja i Konfiguracja) w wersji 11.2.25.0.000. Atakujący z niskimi uprawnieniami i dostępem lokalnym może wykorzystać tę podatność, aby uzyskać nieautoryzowany odczyt podzbioru danych. CVSS 3.1: 3.3 (wpływ na poufność).

Podatność w produkcie Oracle Hyperion Financial Management (komponent: Bezpieczeństwo) w wersji 11.2.25.0.000. Atakujący bez uwierzytelnienia, z dostępem lokalnym, może wykorzystać tę podatność (wymagana interakcja użytkownika) do nieautoryzowanej aktualizacji, wstawiania lub usuwania danych. CVSS 3.1: 2.5 (wpływ na integralność).

Podatność w produkcie Oracle Hyperion Financial Management (komponent: Bezpieczeństwo) w wersji 11.2.25.0.000. Atakujący z wysokimi uprawnieniami i dostępem sieciowym przez HTTP może wykorzystać tę podatność do nieautoryzowanego odczytu danych oraz częściowej odmowy usługi. CVSS 3.1: 3.3 (wpływ na poufność i dostępność).

Podatność w produkcie Oracle Hyperion Financial Management (komponent: Bezpieczeństwo) w wersji 11.2.25.0.000. Atakujący z niskimi uprawnieniami i dostępem sieciowym przez HTTP może wykorzystać tę podatność do spowodowania częściowej odmowy usługi. CVSS 3.1: 3.1 (wpływ na dostępność).