Katalog podatności CVE

JavaCPP Presets wykorzystuje parametr `github.event.head_commit.message` w sposób niebezpieczny, co prowadzi do podatności na wstrzyknięcie poleceń. Problem ten został rozwiązany w wersji 1.5.9.

CVE-2023-34243 dotyczy narzędzia TGstation, które zarządza serwerami BYOND. W podatnych wersjach, atakujący mógł odkryć nazwę użytkownika Windows poprzez brute-forcing punktu logowania z nieprawidłowym hasłem.

W wersjach Chamilo v1.11.x do v1.11.18 zidentyfikowano podatność typu cross-site scripting (XSS) w polu /feedback/comment.

Wersje Chamilo od v1.11.* do v1.11.18 mają lukę, która pozwala atakującym na wykonanie ataku typu Server-Side Request Forgery (SSRF). Dzięki temu mogą uzyskać informacje o usługach działających na serwerze poprzez odpowiednio skonstruowane żądania w narzędziach społecznościowych i linków.

Nieprawidłowa kontrola dostępu w Chamilo 1.11.* do 1.11.18 umożliwia studentowi zapisanym na dany kurs pobranie dokumentów należących do innego studenta, jeśli zna identyfikator dokumentu.

Thruk w wersjach 3.06 i wcześniejszych jest podatny na atak typu Path Traversal w pliku `panorama.pm`, co pozwala atakującemu na przesyłanie plików do dowolnego folderu z uprawnieniami do zapisu. Parametr lokalizacji nie jest filtrowany ani walidowany.

W urządzeniu Tenda AC10 v4 zidentyfikowano przepełnienie stosu związane z parametrem shareSpeed w punkcie końcowym /goform/WifiGuestSet.

W urządzeniu Tenda AC10 v4 US_AC10V4.0si_V16.03.10.13_cn odkryto podatność na przepełnienie stosu poprzez parametr devName w punkcie końcowym /goform/SetOnlineDevName.

W urządzeniu Tenda AC10 v4 zidentyfikowano przepełnienie stosu poprzez listę parametrów w punkcie końcowym /goform/SetNetControlList.

W urządzeniu Tenda AC10 v4 zidentyfikowano przepełnienie stosu związane z parametrem 'time' w punkcie końcowym /goform/PowerSaveSet.

W urządzeniu Tenda AC10 v4 US_AC10V4.0si_V16.03.10.13_cn odkryto podatność na przepełnienie stosu poprzez listę parametrów w punkcie końcowym /goform/SetVirtualServerCfg.

D-Bus w wersjach przed 1.15.6 pozwala na zablokowanie dbus-daemon przez nieuprzywilejowanych użytkowników. W przypadku, gdy uprzywilejowany użytkownik monitoruje ruch na busie wiadomości, nieuprzywilejowany użytkownik może spowodować awarię dbus-daemon poprzez wysłanie wiadomości, na którą nie można odpowiedzieć.

IBM TXSeries dla wielu platform oraz CICS TX Standard i Advanced są podatne na atak typu cross-site scripting (XSS). Umożliwia to użytkownikom osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może prowadzić do ujawnienia danych uwierzytelniających w zaufanej sesji.

Framework Gatsby przed wersjami 4.25.7 i 5.9.1 zawiera podatność typu Local File Inclusion w ścieżkach `__file-code-frame` i `__original-stack-frame`, co może prowadzić do ujawnienia plików podczas uruchamiania serwera deweloperskiego.

IBM TXSeries dla wielu platform w wersjach 8.1, 8.2, 9.1 oraz CICS TX Standard i Advanced w wersjach 10.1, 11.1 mogą pozwolić uprzywilejowanemu użytkownikowi na uzyskanie wysoce wrażliwych informacji poprzez włączenie trybu debugowania.

W wersji CPython v3.12.0 alpha 7 odkryto podatność typu use-after-free w stercie, która występuje w funkcji ascii_decode w pliku /Objects/unicodeobject.c.

Marval MSM w wersji do 14.19.0.12476 używa statycznego klucza szyfrującego do tajnych danych. Atakujący, który uzyska dostęp do zaszyfrowanych tajemnic, może je odszyfrować, wykorzystując ten klucz.

W systemie SourceCodester Online Discussion Forum Site w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej części pliku admin\posts\view_post.php. Manipulacja prowadzi do wstrzykiwania SQL.

Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanej funkcjonalności pliku user/manage_user.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.

Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, dotyczącą pliku posts/manage_post.php. Manipulacja argumentem id prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.