Katalog podatności CVE

Illustrator w wersjach 29.8.4, 30.1 i wcześniejszych ma podatność na odczyt poza zakresem, co może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Illustrator w wersjach 29.8.4, 30.1 i wcześniejszych jest dotknięty podatnością odczytu poza zakresem, która może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie tego problemu wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Podatność w bibliotece Quinn przed wersją 0.11.14 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie odmowy usługi (DoS) poprzez wysłanie spreparowanego pakietu QUIC Initial z nieprawidłowymi parametrami transportowymi. Błąd wynika z użycia funkcji unwrap() podczas dekodowania varintów, co prowadzi do paniki przy napotkaniu skróconego kodowania.

Podatność nieprawidłowej walidacji certyfikatów w Acrobat Reader w wersjach 24.001.30307, 24.001.30308, 25.001.21265 i wcześniejszych może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę podatność do podszycia się pod tożsamość podpisującego. Wymagana jest interakcja użytkownika.

Craft CMS przed wersjami 4.17.3 i 5.9.7 ma podatność CSRF w punkcie końcowym /actions/preview/create-token. Atakujący może zmusić zalogowanego edytora do wygenerowania tokenu podglądu, który następnie może być użyty do dostępu do nieopublikowanych treści.

Biblioteka Giflib zawiera podatność typu double-free, wynikającą z płytkiej kopii w funkcji GifMakeSavedImage oraz nieprawidłowej obsługi błędów. Warunki konieczne do wykorzystania tej luki są trudne do spełnienia, ale możliwe.

DNG SDK w wersjach 1.7.1 2471 i wcześniejszych jest dotknięty podatnością przepełnienia liczby całkowitej lub zawinięcia, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji lub jej brak reakcji. Wykorzystanie tego problemu wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Painter w wersjach 11.1.2 i wcześniejszych zawiera podatność odczytu poza zakresem, która może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Painter w wersjach 11.1.2 i wcześniejszych zawiera podatność polegającą na wyłuskaniu wskaźnika NULL, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji, co zakłóca świadczenie usług. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Painter w wersjach 11.1.2 i wcześniejszych zawiera podatność polegającą na wyłuskaniu wskaźnika NULL, która może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność, aby spowodować awarię aplikacji, co zakłóca jej dostępność. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Painter w wersjach 11.1.2 i wcześniejszych zawiera podatność odczytu poza zakresem, która może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Podatność NULL Pointer Dereference w Substance3D Painter w wersjach 11.1.2 i wcześniejszych może prowadzić do odmowy usługi (DoS) aplikacji. Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji, co zakłóca jej dostępność. Wymagana jest interakcja użytkownika – ofiara musi otworzyć złośliwy plik.

Podatność NULL Pointer Dereference w Substance3D Painter w wersjach 11.1.2 i wcześniejszych może prowadzić do odmowy usługi (DoS) aplikacji. Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji, co zakłóca świadczenie usług. Wymagana jest interakcja użytkownika – ofiara musi otworzyć złośliwy plik.

Substance3D - Painter w wersjach 11.1.2 i wcześniejszych zawiera podatność odczytu poza zakresem, która może prowadzić do ujawnienia pamięci. Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych informacji przechowywanych w pamięci. Wykorzystanie tej podatności wymaga interakcji użytkownika – ofiara musi otworzyć złośliwy plik.

Podatność NULL Pointer Dereference w Substance3D Painter w wersjach 11.1.2 i wcześniejszych może prowadzić do odmowy usługi (DoS) aplikacji. Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji, co zakłóca świadczenie usług. Wymagana jest interakcja użytkownika – ofiara musi otworzyć złośliwy plik.

Podatność NULL Pointer Dereference w Substance3D Painter w wersjach 11.1.2 i wcześniejszych może prowadzić do odmowy usługi (DoS) aplikacji. Atakujący może wykorzystać tę podatność do spowodowania awarii aplikacji, co zakłóca świadczenie usług. Wymagana jest interakcja użytkownika – ofiara musi otworzyć złośliwy plik.

OneUptime to rozwiązanie do monitorowania i zarządzania usługami online. Endpoint resend-verification-code pozwala każdemu uwierzytelnionemu użytkownikowi wywołać ponowne wysłanie kodu weryfikacyjnego dla dowolnego rekordu UserWhatsApp po identyfikatorze, ponieważ własność nie jest weryfikowana (w przeciwieństwie do endpointu verify). Problem dotyczy endpointu UserWhatsAppAPI.ts oraz serwisu UserWhatsAppService.ts.

Przykład ExtractEmbeddedFiles w Apache PDFBox (wersje 2.0.24–2.0.35 oraz 3.0.0–3.0.6) zawiera podatność typu path traversal (CWE-22). Nazwa pliku uzyskana z metody PDComplexFileSpecification.getFilename() jest bezpośrednio dołączana do ścieżki ekstrakcji, co może umożliwić zapis plików poza oczekiwanym katalogiem.

Istnieje podatność na deserializację nieufnych danych, która może prowadzić do utraty poufności, integralności oraz potencjalnego zdalnego wykonania kodu na stacji roboczej, gdy użytkownik z uprawnieniami administratora otworzy złośliwy plik projektu.

Występuje podatność typu Cross-site Scripting (CWE-79), która pozwala uwierzytelnionym atakującym na uruchomienie dowolnego kodu JavaScript w przeglądarce ofiary, gdy ta najedzie kursorem na złośliwie przygotowany element na serwerze WWW zawierającym wstrzyknięty ładunek.