CVE Vulnerability Catalog

A Spoofing vulnerability in Microsoft Edge (Chromium-based) allows an attacker to impersonate trusted content or interfaces.

A Directory Traversal vulnerability in the web interface of the Tiptel IP 286 phone with firmware version 2.61.13.10 allows attackers to overwrite arbitrary files on the device via the Ringtone upload function.

A remote code execution vulnerability in Microsoft Office Visio.

A misconfiguration flaw was found in Keycloak. This issue can allow an attacker to redirect users to an arbitrary URL if a 'Valid Redirect URI' is set to http://localhost or http://127.0.0.1, enabling sensitive information such as authorization codes to be exposed to the attacker, potentially leading to session hijacking.

W klasie XMLSignatureUtil w Keycloak występuje błąd w metodzie walidacji podpisu SAML. Metoda błędnie określa, czy podpis SAML dotyczy całego dokumentu, czy tylko konkretnych asercji, co może prowadzić do oszustw związanych z walidacją.

W 3DSwym w 3DEXPERIENCE R2022x do R2024x występuje podatność na przechowywane Cross-site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.

Podatność CVE-2024-7785 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie biletów elektronicznych Ece Software, co pozwala na ataki typu Reflected XSS (Cross-site Scripting). Problem ten występuje w wersjach systemu przed 2024.08.

W linlinjava litemall w wersji 1.8.0 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez parametry goodsId, goodsSn oraz name w pliku AdminOrderController.java.

W przeglądarce Brave na Androida przed wersją 1.67.116, domeny w oknie popup Brave Shields są skracane z prawej strony zamiast z lewej, co może prowadzić do zamieszania związanego z domenami.

Podatność typu przepełnienie bufora w btstack mesh przed wersją 864e2f2b6b7878c8fab3cf5ee84ae566e3380c58 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję pb_adv_handle_tranaction_cont w komponencie src/mesh/pb_adv.c.

Wszystkie wersje jednostek Smartplay, używanych w samochodach Suzuki i Toyota, mają podatność wynikającą z błędnej konfiguracji. Może to prowadzić do ujawnienia informacji, takich jak logi diagnostyczne, logi systemowe, hasła do jednostki oraz dane osobowe.

W frameworku UI Mesop, opartym na Pythonie, odkryto i naprawiono podatność, która mogła umożliwić nieautoryzowany dostęp do plików na serwerze. Problem dotyczył niewystarczającej walidacji danych wejściowych w określonym punkcie końcowym.

Wykryto problem w Bravura Security Fabric w wersjach 12.3.x przed 12.3.5.32784, 12.4.x przed 12.4.3.35110, 12.5.x przed 12.5.2.35950, 12.6.x przed 12.6.2.37183 oraz 12.7.x przed 12.7.1.38241. Nieautoryzowany atakujący może spowodować wyciek zasobów, wykonując wiele nieudanych prób logowania przez API SOAP.

W wersjach Chaosblade od 0.3 do 1.7.3, w trybie serwera, funkcja exec.CommandContext umożliwia wykonanie poleceń systemowych za pomocą parametru cmd bez wymogu uwierzytelnienia.

W podatności 'Files or Directories Accessible to External Parties' w Eliz Software Panel, przed wersją 2.3.24, istnieje możliwość dostępu do plików lub katalogów przez osoby zewnętrzne, co pozwala na zbieranie danych z ogólnodostępnych lokalizacji zasobów.

W podatności CVE-2024-6877 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Eliz Software Panel, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Panelu przed 2.3.24.

W podatności CVE-2024-5960 w Eliz Software Panel występuje problem z przechowywaniem haseł w postaci niezaszyfrowanej, co umożliwia wykorzystanie znanych danych logowania do domeny. Dotyczy to wersji Panelu przed 2.3.24.

W panelu Eliz Software występuje podatność na XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji panelu przed 2.3.24.

W podatności CVE-2024-5958 w Eliz Software Panel, przed wersją 2.3.24, występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na wykonanie poleceń systemowych poprzez SQL Injection.