CVE Vulnerability Catalog

Mikogo w wersji 5.2.2.150317 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Mikogo-Service dla systemu Windows. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwego kodu z uprawnieniami LocalSystem, umieszczając pliki wykonywalne w określonych lokalizacjach ścieżki.

WorkgroupMail w wersji 7.5.1 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Windows, co pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu. Atakujący mogą wykorzystać niezacytowaną ścieżkę binarną do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami LocalSystem podczas uruchamiania usługi.

Serwer FTP BlackMoon w wersji 3.1.2.1731 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom na potencjalne wykonanie kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność, aby wprowadzić złośliwy kod, który zostanie uruchomiony z uprawnieniami konta LocalSystem podczas uruchamiania usługi.

A vulnerability in Plunet BusinessManager allows session hijacking, data theft, and unauthorized actions on behalf of the user. The issue affects version 10.15.1.

The CWE-611 vulnerability (improper restriction of XML external entity references) in the EBO system allows unauthorized disclosure of local files, interaction within the EBO system, or denial of service conditions. This occurs when a local user uploads a specially crafted TGML graphics file to the EBO server from a workstation.

CWE-94 (Improper Control of Generation of Code) vulnerability in processing TGML graphics files. It may allow execution of untrusted or unintended code within the application when maliciously crafted design content is processed.

Wtyczka wpForo Forum dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.4.13 włącznie, poprzez deserializację nieufnych danych wejściowych w funkcji 'wpforo_display_array_data'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej wstrzyknięcie obiektu PHP.

Zgłoszono podatność na słabą autoryzację, która dotyczy File Station 5. Zdalni atakujący mogą wykorzystać tę podatność do uzyskania wrażliwych informacji.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu 'Static Code Injection' w File Station 5, która polega na niewłaściwej neutralizacji dyrektyw w statycznie zapisanym kodzie. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do uzyskania dostępu do zastrzeżonych danych lub plików.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska dostęp do konta użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu out-of-bounds write, która wpływa na Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji lub uszkodzenia pamięci.

Zgłoszono podatność typu 'use of externally-controlled format string' w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do uzyskania poufnych danych lub modyfikacji pamięci.

Zgłoszono podatność typu injection poleceń w dodatku Media Streaming. Atakujący, który uzyska dostęp do lokalnej sieci oraz konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.4 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wyczerpanie pamięci lub CPU, omijając limity walidacji JSON.