CVE Vulnerability Catalog

Movary, a web application to track, rate and explore movie watch history, up to version 0.68.0 uses the HTTP Referer header value directly for redirects in multiple settings endpoints, allowing a crafted link to cause an open redirect to an attacker-controlled site and facilitate phishing. This vulnerability is fixed in 0.69.0.

Statmatic to system zarządzania treścią (CMS) oparty na Laravel i Git. Występujące w nim podatności typu Stored XSS w Kolekcjach i Taksonomiach pozwalają uwierzytelnionym użytkownikom z uprawnieniami do tworzenia treści na wstrzykiwanie złośliwego JavaScript, który jest wykonywany, gdy jest wyświetlany przez użytkowników z wyższymi uprawnieniami.

W systemie BusinessNext CRMnext w wersji 10.8.3.0 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr wejściowy komentarzy.

Aplikacja mobilna Mobile Scanner na Androida w wersji 2.12.38 zawiera podatność na wyciek poświadczeń. Niewłaściwe zarządzanie poświadczeniami usług chmurowych może umożliwić atakującym ich pozyskanie i przeprowadzenie nieautoryzowanych działań.

Aplikacja AG Life Logger na Androida w wersji v1.0.2.72 i wcześniejszych (nazwa pakietu com.donki.healthy) zawiera luki w kontroli dostępu. Ujawnione dane uwierzytelniające w ruchu sieciowym mogą umożliwić atakującym nadużycie zasobów chmurowych, a przewidywalne kody weryfikacyjne ułatwiają ataki brute-force na konta.

Aplikacja Kanova na Androida w wersji 1.0.27 (nazwa pakietu com.karelane) zawiera luki w kontroli dostępu. Atakujący mogą uzyskać nieautoryzowany dostęp do danych użytkowników oraz informacji o grupach, manipulując parametrami żądań API.

Aplikacja 2nd Line na Androida w wersji v1.2.92 i wcześniejszych (nazwa pakietu com.mysecondline.app) zawiera podatność na niewłaściwą kontrolę dostępu w mechanizmie uwierzytelniania. Serwer weryfikuje tylko pierwszy znak tokena użytkownika, co umożliwia atakującym przeprowadzenie ataków brute force na tokeny i wykonywanie nieautoryzowanych zapytań na kontach innych użytkowników.

Aplikacja mCarFix Motorists w wersji 2.3 zawiera luki w kontroli dostępu, które mogą być wykorzystane przez atakujących do rejestrowania kont bez weryfikacji. Manipulacja sekwencyjnymi identyfikatorami numerycznymi umożliwia nieautoryzowany dostęp do danych użytkowników i grup.

Aplikacja Android Senza: Keto & Fasting w wersji 2.10.15 zawiera lukę w kontroli dostępu. Wykorzystując niewystarczające sprawdzenia w punktach końcowych API danych użytkowników, atakujący mogą uzyskać tokeny uwierzytelniające i przejąć konta użytkowników.

Aplikacja AdForest - Classified w wersji 4.0.12 zawiera podatność na niewłaściwą kontrolę dostępu w mechanizmie uwierzytelniania. Wykorzystuje ona adres e-mail zakodowany w Base64 jako poświadczenie autoryzacyjne, co może być manipulowane przez atakujących w celu uzyskania nieautoryzowanego dostępu do kont użytkowników.

Aplikacja ABC Fine Wine & Spirits w wersji v.11.27.5 i wcześniejszych (nazwa pakietu com.cta.abcfinewineandspirits) zawiera lukę w mechanizmie logowania związaną z niewłaściwą kontrolą dostępu. Aplikacja nieprawidłowo weryfikuje hasła użytkowników podczas autoryzacji, co pozwala atakującym na ominięcie kontroli logowania i uzyskanie ważnych identyfikatorów sesji.

Aplikacja TalkTalk w wersji 3.3.6 na system Android zawiera luki związane z niewłaściwą kontrolą dostępu w wielu punktach końcowych API. Atakujący mogą modyfikować parametry żądań, co pozwala im uzyskać wrażliwe informacje użytkowników oraz dostęp do prywatnych informacji grupowych.

Dell Secure Connect Gateway (SCG) 5.0 (versions 5.26.00.00 - 5.30.00.00) contains a relative path traversal vulnerability in the internal collection download REST API, if enabled by an admin. A low privileged attacker with remote access can exploit this to access restricted resources.

Dell Secure Connect Gateway (SCG) Policy Manager versions 5.20, 5.22, 5.24, 5.26, 5.28 contain a Cross-site Scripting vulnerability. An unauthenticated attacker with remote access could potentially exploit this vulnerability, leading to script injection.

Certain HP Card Readers B Models (X3D03B & Y7C05B) are potentially vulnerable to information disclosure, allowing prior user identity to be inherited under certain conditions, e.g., when an NFC device (such as a smartphone/smartwatches) is in proximity during a card swipe event.

Zohocorp ManageEngine Exchange Reporter Plus versions before 5723 are vulnerable to Stored Cross Site Scripting in the reports module. The vulnerability allows injection of malicious script that is stored and executed in the user's browser.

Zohocorp ManageEngine Exchange Reporter Plus versions through 5721 are vulnerable to Stored Cross Site Scripting in the Instant Search option. The vulnerability allows storage of malicious script that is executed in the user's browser.

Zohocorp ManageEngine Exchange Reporter Plus through 5721 is vulnerable to ReDoS in the search module.

Dell Unity, version(s) 5.5 and prior, contain an OS command injection vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability to execute arbitrary commands with root privileges.

Dell Unity, version(s) 5.5 and prior, contain(s) an OS Command Injection vulnerability. A low privileged attacker with local access could potentially exploit this vulnerability to execute arbitrary commands with root privileges.