CVE Vulnerability Catalog

W pliku admin.php w systemie Multi-Page Comment System (MPCS) w wersjach 1.0 i 1.1, zdalni atakujący mogą obejść uwierzytelnianie i uzyskać uprawnienia, ustawiając ciasteczko CommentSystemAdmin na wartość 1.

Podatność CVE-2008-2284 dotyczy Fusebox 5.5.1 i polega na zdalnym dołączeniu pliku PHP w pliku fusebox5.php. Umożliwia to zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze FUSEBOX_APPLICATION_PATH.

Program axengine.exe w Symantec Altiris Deployment Solution w wersjach 6.8.x i 6.9.x przed 6.9.176 generuje poświadczenia z użyciem stałej soli lub bez soli, co ułatwia zdalnym atakującym odgadnięcie zaszyfrowanych poświadczeń domenowych.

Plik admin.php w Rantx umożliwia zdalnym atakującym ominięcie uwierzytelniania i uzyskanie uprawnień poprzez ustawienie ciasteczka logininfo na "<?php" lub "?>", co jest obecne w pliku hasła i prawdopodobnie prowadzi do niewystarczającego porównania.

Plik admin.php w Internet Photoshow oraz Internet Photoshow Special Edition (SE) umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez ustawienie ciasteczka login_admin na wartość true.

Podatność typu cross-zone scripting w funkcji Drukuj tabelę linków w przeglądarkach Internet Explorer 6.0, 7.0 i 8.0b umożliwia zdalnym atakującym, przy pomocy użytkownika, wstrzyknięcie dowolnego skryptu webowego lub HTML do Strefy lokalnej. Atak ten może być przeprowadzony poprzez dokument HTML zawierający linki z sekwencjami JavaScript, które są oceniane przez skrypt zasobów podczas drukowania dokumentu.

Podatność SQL injection w axengine.exe w Symantec Altiris Deployment Solution 6.8.x i 6.9.x przed wersją 6.9.176 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone pola tekstowe w pakiecie powiadomień.

Nieokreślona podatność w interfejsie użytkownika Agenta w Symantec Altiris Deployment Solution 6.8.x i 6.9.x przed wersją 6.9.176 umożliwia lokalnym użytkownikom uzyskanie uprawnień za pomocą nieznanych wektorów ataku.

Podatność CVE-2008-2296 dotyczy Rgboard w wersji 3.0.12, gdzie zdalni atakujący mogą wykorzystać lukę w pliku include/bbs.lib.inc.php do zdalnego włączenia plików PHP. Atakujący mogą wykonać dowolny kod PHP, manipulując parametrem site_path.

Plik admin.php w Web Slider 0.6 pozwala zdalnym atakującym na ominięcie uwierzytelnienia i uzyskanie uprawnień poprzez ustawienie ciasteczka admin na wartość 1.

System zarządzania pielęgnacją zwierząt domowych w wersji 2.0 pozwala zdalnym atakującym na uzyskanie uprawnień poprzez bezpośrednie żądanie do pliku useradded.php z zmodyfikowaną nazwą użytkownika dla 'admin'.

Nieokreślona podatność w elemencie podpowiedzi w Symantec Altiris Deployment Solution 6.8.x i 6.9.x przed wersją 6.9.176 umożliwia lokalnym użytkownikom uzyskanie uprawnień za pomocą nieznanych wektorów ataku.

W podatności CVE-2008-2301 występuje luka typu SQL injection w skrypcie Kostenloses Linkmanagementscript, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr id w plikach view.php i top_view.php.

Usługa Presence Engine (PE) w Cisco Unified Presence przed wersją 6.0(1) umożliwia zdalnym atakującym spowodowanie odmowy usługi (zrzut pamięci i przerwanie działania usługi) poprzez wysyłanie źle sformatowanych pakietów.

Funkcja Proxy Certyfikatu (CAPF) w Cisco Unified Communications Manager (CUCM) w wersjach 4.1 przed 4.1(3)SR7, 4.2 przed 4.2(3)SR4 oraz 4.3 przed 4.3(2) jest podatna na ataki zdalne, które mogą prowadzić do awarii usługi w wyniku złośliwego ruchu sieciowego.

W podatności CVE-2008-2277 występuje luka typu SQL injection w pliku detail.php w skrypcie Feedback and Rating Script w wersji 1.0. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru listingid.

Usługa SIP Proxy (SIPD) w Cisco Unified Presence przed wersją 6.0(3) umożliwia zdalnym atakującym spowodowanie odmowy usługi (zrzut pamięci i przerwanie działania usługi) poprzez skanowanie portów TCP.

Podatność SQL injection w pliku browseproject.php w skrypcie Freelance Auction Script 1.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr pid w akcji pdetails.

Podatność na wstrzykiwanie SQL w pliku news.php w EMO Realty Manager umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru ida.

Usługa Presence Engine (PE) w Cisco Unified Presence przed wersją 6.0(1) umożliwia zdalnym atakującym spowodowanie odmowy usługi (zrzut pamięci i przerwanie działania usługi) poprzez nieokreślony 'test obciążeniowy'.