Katalog podatności CVE

W Jami (wersja 20222284) od Savoir-faire Linux na systemie Windows występuje niewłaściwa walidacja danych wejściowych w interpretacji hiperłączy. Umożliwia to atakującemu wysłanie niestandardowego tagu HTML, który przekazuje wartość ciągu do obsługi QRC w systemie Windows przez komunikator Jami.

Pole 'nickname' w aplikacji Jami firmy Savoir-faire Linux jest podatne na awarię, gdy użytkownik wprowadza znaki specjalne. Wprowadzenie tych znaków uniemożliwia aplikacji utworzenie podpisu dla użytkownika, co prowadzi do lokalnej odmowy usługi.

W repozytorium GitHub plaidweb/webmention.js przed wersją 0.5.5 występuje podatność typu Cross-site Scripting (XSS) w kontekście DOM.

Wersje Wireshark od 4.0.0 do 4.0.6 zawierają błąd w analizatorze iSCSI, który może prowadzić do awarii aplikacji. Atakujący może wykorzystać wstrzyknięcie pakietów lub spreparowany plik zrzutu do wywołania odmowy usługi.

Wersje Wireshark od 4.0.0 do 4.0.6 oraz od 3.6.0 do 3.6.14 zawierają podatność, która może prowadzić do awarii analizatora Kafka. Atakujący może wykorzystać wstrzyknięcie pakietów lub spreparowany plik zrzutu do wywołania odmowy usługi.

W bibliotece libjpeg odkryto przepełnienie bufora na stercie w funkcji LineBitmapRequester::EncodeRegion. Ta podatność umożliwia atakującym wywołanie odmowy usługi (DoS) za pomocą spreparowanego pliku.

W bibliotece libjpeg odkryto podatność, która pozwala na osiągnięcie asercji w metodzie BitMapHook::BitMapHook w pliku bitmaphook.cpp. Atakujący mogą wykorzystać tę podatność do wywołania Denial of Service (DoS) poprzez spreparowany plik.

GLPI to darmowe oprogramowanie do zarządzania zasobami IT, które zawiera podatność na wstrzykiwanie SQL w panelu administracyjnym dashboardów. Administrator może wywołać tę podatność, co może prowadzić do nieautoryzowanego dostępu do danych.

JS7 to otwartoźródłowy harmonogram zadań, który pozwala użytkownikom na przesyłanie plików z dokumentacją. Specjalnie skonstruowane nazwy plików mogą umożliwić atak XSS, który wstrzykuje kod wykonywany w przeglądarce.

W podatności CVE-2023-37849 występuje problem z hijackowaniem DLL w Panda Security VPN dla systemu Windows przed wersją v15.14.8, co pozwala atakującym na wykonanie dowolnego kodu poprzez umieszczenie spreparowanego pliku DLL w tym samym katalogu co PANDAVPN.exe.

W podatności CVE-2023-37598 w issabel-pbx w wersji 4.0.0-6 występuje luka typu Cross Site Request Forgery (CSRF), która pozwala zdalnemu atakującemu na spowodowanie odmowy usługi poprzez funkcję usuwania nowego faksu wirtualnego.

System Feedbacksystem przechowuje hasła użytkowników korzystających z logowania LDAP w postaci niezaszyfrowanej w bazie danych. Problem ten występuje podczas pierwszego logowania, gdy hasło jest przesyłane w postaci niezaszyfrowanej.

Discourse, otwarta platforma dyskusyjna, ma podatność na ponowne użycie nonce w polityce bezpieczeństwa treści (CSP), co może umożliwić ataki XSS omijające ochronę CSP. Obecnie nie ma znanych wektorów XSS, ale w przypadku ich odkrycia, ta podatność pozwoliłaby na całkowite ominięcie CSP.

cmark-gfm to rozszerzona wersja referencyjnej implementacji CommonMark, która zawiera trzy problemy z złożonością czasową w czasie wielomianowym. Problemy te mogą prowadzić do nieograniczonego wyczerpania zasobów i w konsekwencji do odmowy usługi.

Wielokrotne podatności typu cross-site scripting (XSS) w Geeklog v2.2.2 umożliwiają atakującym wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametrów Rule i Route w /admin/router.php.

Wielokrotne podatności typu cross-site scripting (XSS) w Geeklog v2.2.2 umożliwiają atakującym wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametrów Mail Settings[backend], Mail Settings[host], Mail Settings[port] oraz Mail Settings[auth] w pliku /admin/configuration.php.

W wersjach ImpressCMS v1.4.5 i wcześniejszych występuje podatność typu cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru smile_code w komponencie /editprofile.php.

W systemie zarządzania zatrudnieniem służącym do wynajmu pomocy domowej w wersji 1.0 występuje podatność typu cross-site scripting (XSS). Umożliwia ona atakującym wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru Title w komponencie /admin/contactus.php.

W YSoft SAFEQ 6 Server przed wersją 6.0.82 występuje problem związany z modyfikacją adresu URL konfiguracji serwera LDAP. Zmiana z LDAPS na LDAP nie wymaga ponownego wprowadzenia hasła, co prowadzi do ujawnienia danych uwierzytelniających w postaci niezaszyfrowanej.

W systemie zarządzania rekrutacją służby domowej w wersji 1.0 występuje podatność typu cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do opisu strony w komponencie /admin/aboutus.php.