Katalog podatności CVE

Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'azh_add_post' w wersjach do 1.27.133 włącznie. Umożliwia to uwierzytelnionym atakującym tworzenie postów dowolnego typu i statusu.

Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.27.133 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcjach 'azh_add_post', 'azh_duplicate_post', 'azh_update_post' oraz 'azh_remove_post'.

Wtyczka Page Builder by AZEXO dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'azh_post' w wersjach do 1.27.133 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

W eMedia Consulting simpleRedak w wersji do 2.47.23.05 odkryto podatność na refleksyjny atak XSS w komponencie /scheduler/index.php.

W eMedia Consulting simpleRedak w wersji do 2.47.23.05 odkryto podatność na refleksyjny atak XSS poprzez komponent /view/cb/format_642.php.

Podatność typu Cross-site Scripting (XSS) została zidentyfikowana w repozytorium GitHub tsolucio/corebos przed wersją 8, poprzez evvtgendoc.

W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu w aplikacji.

W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS) typu przechowywanego.

W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu w aplikacji.

W określonych okolicznościach wywołanie funkcji bind mogło skutkować nieprawidłową domeną (realm), co mogło stworzyć podatność związaną z sandboxami implementowanymi w JavaScript, takimi jak SES. Podatność dotyczy Firefox dla Android < 112, Firefox < 112 i Focus dla Android < 112.

Błędna instrukcja loweringu w kompilatorze Ion dla architektury ARM64 doprowadziła do nieprawidłowego wyniku optymalizacji. Podatność dotyczy przeglądarki Firefox przed wersją 112, Focus for Android przed 112, Firefox ESR przed 102.10, Firefox for Android przed 112 oraz Thunderbird przed 102.10.

Jeśli wiele wystąpień wyczerpania zasobów wystąpi w nieodpowiednim czasie, garbage collector może spowodować uszkodzenie pamięci i potencjalnie wykorzystywalny crash. Podatność dotyczy Firefoksa dla Androida < 112, Firefoksa < 112 i Focusa dla Androida < 112.

Użycie przekierowania osadzonego w sourceMappingUrls mogło umożliwić nawigację do zewnętrznych linków protokołowych w sandboxowanych iframe bez atrybutu allow-top-navigation-to-custom-protocols. Podatność dotyczy Firefox dla Android < 112, Firefox < 112 i Focus dla Android < 112.

W określonych okolicznościach WebExtension mógł otrzymać URI typu jar:file:/// zamiast moz-extension:/// podczas żądania ładowania, co ujawniało ścieżki katalogów na komputerze użytkownika. Podatność dotyczy Firefox dla Android < 112, Firefox < 112 i Focus dla Android < 112.

Po kompakcji garbage collectora, słabe mapy mogły być dostępne przed poprawnym śledzeniem, co prowadzi do uszkodzenia pamięci i potencjalnie wykorzystywalnego awarii. Dotyczy Firefox < 112, Focus for Android < 112, Firefox ESR < 102.10, Firefox for Android < 112 i Thunderbird < 102.10.

Strona internetowa mogła ukryć powiadomienie o pełnym ekranie, używając kombinacji window.open, żądań pełnego ekranu, przypisań window.name i wywołań setInterval. Mogło to prowadzić do dezorientacji użytkownika i możliwych ataków typu spoofing. Podatność dotyczy Firefoksa < 112, Focus dla Androida < 112, Firefox ESR < 102.10, Firefox dla Androida < 112 i Thunderbirda < 102.10.

W systemie Campcodes Retro Cellphone Online Store w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'category' w pliku /admin/modal_add_product.php prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W repozytorium GitHub zadam/trilium przed wersją 0.59.4 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.

W systemie zarządzania szkołą Agro-School Management System w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'password' w pliku index.php prowadzi do ataku typu SQL injection.