Katalog podatności CVE

Biblioteka multipart dla Pythona zawiera podatność ReDoS w funkcji parse_options_header() spowodowaną niejednoznaczną alternacją w wyrażeniu regularnym. Może to prowadzić do wykładniczego cofania się podczas przetwarzania złośliwie spreparowanych nagłówków HTTP lub multipart/form-data.

W bibliotece llama.cpp, przed wersją b8146, funkcja gguf_init_from_file_impl() w pliku gguf.cpp była podatna na przepełnienie całkowite, co prowadziło do niewłaściwego przydziału pamięci na stercie. W wyniku tego, funkcja fread() mogła zapisać ponad 528 bajtów danych kontrolowanych przez atakującego poza granicami bufora.

Postal to otwartoźródłowy serwer SMTP. W wersjach Postal poniżej 3.3.5 występowała podatność na wstrzykiwanie HTML, która pozwalała na dodanie nieprzetworzonych danych do interfejsu administracyjnego, głównie poprzez metodę API 'send/raw'.

OpenCTI to otwartoźródłowa platforma do zarządzania wiedzą o zagrożeniach cybernetycznych. W wersjach przed 6.8.16 funkcja wczytywania danych akceptuje adresy URL dostarczane przez użytkowników bez walidacji, co pozwala atakującym na wysyłanie żądań do dowolnych punktów końcowych, w tym usług wewnętrznych.

Podatność umożliwiająca lokalne podniesienie uprawnień na serwerach Veeam Backup & Replication działających na systemie Windows.

W urządzeniu Tenda i12 w wersji 1.0.0.6(2204) wykryto podatność bezpieczeństwa. Problem dotyczy funkcji formwrlSSIDget w pliku /goform/wifiSSIDget, gdzie manipulacja argumentem index prowadzi do przepełnienia bufora na stosie.

Portal Nieruchomości Netartmedia w wersji 5.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze 'page'. Atakujący mogą wysyłać żądania POST do index.php z złośliwymi ładunkami SQL w polu 'page'.

Portal Nieruchomości Netartmedia w wersji 5.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze user_email. Atakujący mogą wysyłać żądania POST do index.php z złośliwymi ładunkami w polu user_email.

Netartmedia PHP Mall w wersji 4.1 zawiera wiele podatności na wstrzykiwanie SQL, które pozwalają nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez niezweryfikowane parametry. Atakujący mogą wstrzykiwać ładunki SQL oparte na czasie poprzez parametr 'id' w index.php lub parametr 'Email' w loginaction.php, aby wydobyć wrażliwe informacje z bazy danych.

Netartmedia PHP Mall w wersji 4.1 zawiera wiele podatności na wstrzykiwanie SQL, które pozwalają nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL przez różne parametry. Atakujący mogą tworzyć złośliwe żądania z ładunkami SQL, aby wydobywać wrażliwe informacje z bazy danych, w tym dane uwierzytelniające użytkowników oraz dane systemowe.

202CMS v10 beta zawiera podatność na ślepą injekcję SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru log_user. Atakujący mogą wysyłać żądania POST do index.php z przygotowanymi ładunkami SQL, wykorzystując techniki oparte na czasie.

202CMS w wersji 10 beta zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze log_user. Atakujący mogą wysyłać spreparowane żądania z złośliwymi instrukcjami SQL w polu log_user, aby uzyskać dostęp do wrażliwych informacji z bazy danych lub modyfikować jej zawartość.

Netartmedia Event Portal 2.0 zawiera podatność na ślepą iniekcję SQL opartą na czasie, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze Email. Atakujący mogą wysyłać żądania POST do loginaction.php z złośliwymi ładunkami SQL w polu Email, aby wydobyć wrażliwe informacje z bazy danych.

Netartmedia PHP Real Estate Agency w wersji 4.0 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu w parametrze features[]. Atakujący mogą wysyłać żądania POST do index.php z odpowiednio skonstruowanymi ładunkami SQL w parametrze features[], aby uzyskać dostęp do wrażliwych informacji z bazy danych lub manipulować zapytaniami do bazy danych.

Netartmedia PHP Dating Site zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze Email. Atakujący mogą wysyłać żądania POST do loginaction.php z ładunkami wstrzykującymi SQL opartymi na czasie w polu Email, aby wydobyć wrażliwe informacje z bazy danych.

Netartmedia PHP Car Dealer zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym na wykonywanie dowolnych zapytań SQL poprzez wstrzykiwanie złośliwego kodu przez parametr features[]. Atakujący mogą wysyłać żądania POST do index.php z odpowiednio skonstruowanymi ładunkami SQL w parametrze features[], aby uzyskać dostęp do wrażliwych informacji z bazy danych lub manipulować zapytaniami do bazy.

Netartmedia PHP Business Directory w wersji 4.2 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze Email. Atakujący mogą wysyłać żądania POST do punktu końcowego loginaction.php z odpowiednio skonstruowanymi ładunkami SQL w polu Email.

Netartmedia Jobs Portal w wersji 6.1 zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL w parametrze Email. Atakujący mogą wysyłać żądania POST do loginaction.php z odpowiednio skonstruowanymi ładunkami SQL w polu Email.

Portal Deals firmy Netartmedia zawiera podatność na wstrzykiwanie SQL w parametrze Email pliku loginaction.php, co pozwala nieautoryzowanym atakującym na manipulację zapytaniami do bazy danych. Atakujący mogą przesyłać spreparowane ładunki SQL za pomocą żądań POST, aby wydobyć wrażliwe informacje lub obejść mechanizmy uwierzytelniania.

System uHotelBooking zawiera podatność na wstrzykiwanie SQL, która pozwala nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie kodu SQL za pomocą parametru GET system_page. Atakujący mogą wysyłać spreparowane żądania do index.php z złośliwymi wartościami system_page, wykorzystując techniki wstrzykiwania SQL oparte na czasie, aby wydobyć wrażliwe informacje z bazy danych.