Katalog podatności CVE

Podatność ujawnienia informacji w przeglądarce Microsoft Edge dla systemu Android (opartej na Chromium). Może pozwolić na nieautoryzowany dostęp do danych.

Wtyczka Comments Extra Fields For Post, Pages and CPT dla WordPressa do wersji 5.0 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brakuje w niej walidacji nonce w kilku akcjach AJAX, co pozwala nieuwierzytelnionym atakującym na wywołanie tych akcji poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link. W rezultacie mogą modyfikować pola formularza komentarzy i zmieniać ustawienia wtyczki.

Wtyczka Comments Extra Fields For Post, Pages and CPT dla WordPressa do wersji 5.0 włącznie jest podatna na brak autoryzacji. Brakuje w niej odpowiednich kontroli uprawnień w kilku akcjach AJAX, co pozwala uwierzytelnionym atakującym z dostępem subskrybenta lub wyższym na modyfikację pól formularza komentarzy i zmianę ustawień wtyczki.

W sterowniku amdgpu w jądrze Linux naprawiono możliwość wyłuskania pustego wskaźnika w funkcji amdgpu_ras_query_error_status_helper(). Funkcja zwraca teraz kod błędu -EINVAL dla nieprawidłowego identyfikatora bloku.

W jądrze Linux w systemie plików Ceph występuje problem z kolejnością blokad między wpisem katalogu a jego katalogiem nadrzędnym, co prowadzi do zakleszczenia lub martwego kodu. Poprawka usuwa nieużywany kod.

W jądrze Linux na architekturze LoongArch wykryto podatność powodującą panikę systemu podczas inicjalizacji, gdy włączona jest opcja DEFERRED_STRUCT_PAGE_INIT. Problem wynika z nieprawidłowego przypisania identyfikatora węzła (node id) do zarezerwowanych bloków pamięci, co prowadzi do dereferencji pustego wskaźnika w funkcji reserve_bootmem_region(). Poprawka polega na przypisaniu wszystkich zarezerwowanych bloków pamięci do węzła #0 podczas inicjalizacji.

W jądrze Linux w systemie plików Ceph podczas odmontowywania nie są odrzucane wiadomości z serwera MDS, co prowadzi do przetrzymywania ihold na i-węzłach. Przy włączonym szyfrowaniu powoduje to ostrzeżenie przy usuwaniu kluczy, a następnie awarię jądra przy próbie zwolnienia i-węzłów po zniszczeniu superbloku.

W jądrze Linux w sterowniku graficznym AMD Display (drm/amd/display) przed wysłaniem poleceń do DMCUB nie budzono go z trybu oszczędzania energii, co mogło powodować zawieszenie systemu. Poprawka dodaje wybudzanie DMCUB przed wysłaniem poleceń.

W jądrze Linux dodano obejście dla erraty ARM Cortex-A520 2966298. Na dotkniętych rdzeniach spekulatywne nieuprzywilejowane odczyty mogą przeciekać dane z uprzywilejowanych odczytów przez kanał boczny pamięci podręcznej. Obejście polega na wykonaniu TLBI przed powrotem do EL0.

Wtyczka Email Encoder – Protect Email Addresses and Phone Numbers dla WordPress do wersji 2.2.0 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode'y z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami przynajmniej contributora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Page Restrict dla WordPressa zawiera podatność na Cross-Site Request Forgery (CSRF) w wersjach do 2.5.5 włącznie. Podatność ta może pozwolić atakującemu na wykonanie nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka Page Restrict dla WordPressa jest podatna na ujawnienie informacji we wszystkich wersjach do 2.5.5 włącznie. Podatność wynika z nieprawidłowego ograniczania dostępu do prywatnych stron przez REST API, co umożliwia nieuwierzytelnionym atakującym przeglądanie chronionych wpisów.

Podatność na fałszowanie (spoofing) w przeglądarce Microsoft Edge (opartej na Chromium). Umożliwia atakującemu podszywanie się pod zaufane strony.

Podatność w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia ujawnienie informacji.

Wada w funkcji AMD SPI protection pozwala użytkownikowi z uprawnieniami Ring0 (tryb jądra) na obejście zabezpieczeń, co może prowadzić do utraty integralności i dostępności systemu.

Podatność w Microsoft Azure File Sync umożliwia podniesienie uprawnień. Szczegóły techniczne nie są podane w opisie.

Podatność typu Spoofing w Microsoft Azure Active Directory B2C umożliwia atakującemu podszywanie się pod usługę lub użytkowników.

Podatność w systemie Windows DNS umożliwia ujawnienie informacji. Atakujący może wykorzystać tę lukę, aby uzyskać dostęp do poufnych danych.

Podatność na ujawnienie informacji w aplikacji Microsoft Teams dla systemu Android. Może pozwolić na dostęp do poufnych danych.

Podatność w jądrze systemu Windows umożliwia obejście funkcji zabezpieczeń. Szczegóły techniczne nie są podane w opisie.