CVE Vulnerability Catalog

Vulnerability in the Java VM component of Oracle Database Server allows unauthenticated attackers with network access to compromise Java VM. Successful attacks can lead to unauthorized access to critical data.

Podatność w produkcie Oracle Financial Services Customer Screening umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Wersja 8.1.2.8.0 jest podatna na tę łatwą do wykorzystania lukę.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Dotyczy to wersji 8.0.7.9, 8.0.8.7 oraz 8.1.2.5.

Podatność w produkcie PeopleSoft Enterprise PeopleTools firmy Oracle dotyczy komponentu bezpieczeństwa. Wersje 8.61-8.62 są podatne na łatwe do wykorzystania ataki, które mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych oraz ich modyfikacji.

Podatność w produkcie Oracle WebLogic Server w ramach Oracle Fusion Middleware (komponent: Usługi internetowe) umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację serwera. Ataki mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych lub pełnego dostępu do wszystkich danych dostępnych na serwerze Oracle WebLogic.

Podatność w produkcie Oracle HCM Common Architecture w ramach Oracle E-Business Suite (komponent: Knowledge Integration) dotyczy wersji 12.2.3-12.2.15. Umożliwia ona nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację Oracle HCM Common Architecture.

Podatność w produkcie Oracle WebLogic Server w ramach Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0 oraz 14.1.1.0.0. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i dostępem do sieci przez HTTP na przejęcie Oracle WebLogic Server.

Podatność w produkcie Oracle HTTP Server z Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0 oraz 14.1.2.0.0. Trudna do wykorzystania podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP na kompromitację Oracle HTTP Server, co może znacząco wpłynąć na inne produkty.

Podatność w produkcie Oracle Identity Manager Connector w Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0. Łatwo eksploatowalna podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez TCP na kompromitację Oracle Identity Manager Connector.

Vulnerability in the Networking component of Oracle Java SE, Oracle GraalVM for JDK, and Oracle GraalVM Enterprise Edition. An unauthenticated remote attacker can cause a hang or frequent crash (DOS).

Vulnerability in the JAXP component of Oracle Java SE, Oracle GraalVM for JDK, and Oracle GraalVM Enterprise Edition. An unauthenticated attacker with network access can easily exploit this flaw to gain unauthorized access to critical data or all accessible data in these products.

Podatność w produkcie Oracle Applications DBA w pakiecie Oracle E-Business Suite (komponent: ADPatch) dotyczy wersji 12.2.3-12.2.15. Jest to trudna do wykorzystania podatność, która pozwala atakującemu z wysokimi uprawnieniami i dostępem do sieci przez HTTP na przejęcie Oracle Applications DBA, wymagająca interakcji ze strony osoby trzeciej.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Dotknięte wersje to 8.0.7.9, 8.0.8.7 oraz 8.1.2.5.

Vulnerability in the Oracle Life Sciences Empirica Signal product allows a low privileged attacker with network access via HTTP to compromise the system. Affected versions are 9.2.1-9.2.3 and may lead to unauthorized access to critical data.

HKUDS OpenHarness prior to PR #156 remediation exposes plugin lifecycle commands including /plugin install, /plugin enable, /plugin disable, and /reload-plugins to remote senders by default. Attackers who gain access through the channel layer can remotely manage plugin trust and activation state, enabling unauthorized plugin installation and activation on the system.

WWBN AVideo to otwarta platforma wideo. W wersjach 29.0 i wcześniejszych, punkt końcowy zapisu lokalizacji (`locale/save.php`) konstruuje ścieżkę pliku, bezpośrednio łącząc `$_POST['flag']` w ścieżkę bez jakiejkolwiek sanitizacji. Parametr `$_POST['code']` jest następnie zapisywany dosłownie w tej ścieżce, co pozwala na wykonanie zdalnego kodu.

Biblioteka `github.com/gomarkdown/markdown` w języku Go, służąca do przetwarzania tekstu Markdown i renderowania go jako HTML, ma podatność na przetwarzanie niepoprawnych danych wejściowych. Wprowadzenie tekstu zawierającego znak <, który nie jest następnie zamknięty znakiem >, prowadzi do odczytu poza granicami lub paniki.

goshs to SimpleHTTPServer napisany w Go. W wersjach od 2.0.0-beta.4 do 2.0.0-beta.5, goshs ujawnia poświadczenia ACL oparte na plikach przez publiczny kanał współpracowników, gdy serwer jest uruchomiony bez globalnej autoryzacji podstawowej.

goshs to SimpleHTTPServer napisany w Go. W wersjach od 2.0.0-beta.4 do 2.0.0-beta.5 występuje problem z fałszywym żądaniem między witrynami (CSRF) w trasach HTTP GET zmieniających stan. Atakujący może spowodować, że już uwierzytelniona przeglądarka wywoła destrukcyjne akcje, takie jak ?delete i ?mkdir.

ZEBRA, węzeł Zcash napisany w Rust, przed wersją 4.3.0 zebrad i 5.0.1 zebra-network, miał problem z deserializacją wiadomości addr lub addrv2, co pozwalało na alokację pamięci przekraczającej dozwolony limit. Atakujący mógł spowodować awarie z powodu braku pamięci, wysyłając wiele takich wiadomości przez różne połączenia.