Katalog podatności CVE

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez dostarczenie spreparowanego pliku aktualizacji oprogramowania układowego.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do żądań wysyłanych do trasy przywracania.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w polu urządzeń podczas uzyskiwania dostępu do trasy get setup.

W wersji 1.12.1 i wcześniejszych Copeland XWEB Pro występuje podatność, w której nieoczekiwany wynik zwracany przez procedurę uwierzytelniania jest później przetwarzany jako wartość prawidłowa, co prowadzi do ominięcia uwierzytelniania.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie. Atakujący może wstrzyknąć złośliwe dane do pól argumentów OpenSSL w żądaniach wysyłanych do trasy narzędzia.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w pole urządzeń podczas akcji zastosowania aktualizacji oprogramowania.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w żądania wysyłane do trasy aktualizacji oprogramowania.

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do ciała żądania wysyłanego do trasy importu kontaktów.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie. Atakujący może to osiągnąć, wstrzykując złośliwe dane do pola urządzeń podczas akcji aktualizacji oprogramowania.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia w pole nazwy pliku mapy podczas akcji przesyłania mapy.

W wersji 1.12.1 i wcześniejszych XWEB Pro występuje podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu na systemie poprzez wstrzyknięcie złośliwego wejścia do żądań wysyłanych do trasy szablonów.

W Tenda F453 w wersji 1.0.0.3 zidentyfikowano podatność w funkcji fromDhcpListClient pliku /goform/DhcpListClient komponentu httpd. Manipulacja argumentem page prowadzi do przepełnienia bufora, co umożliwia zdalne wykorzystanie tej podatności.

Wykryto podatność w urządzeniu Tenda F453 w wersji 1.0.0.3, która dotyczy funkcji fromP2pListFilter w pliku /goform/P2pListFilter. Manipulacja argumentem page prowadzi do przepełnienia bufora, co może być wykorzystane przez zdalnego atakującego.

Wersje Crypt::SysRandom::XS przed 0.010 dla Perla są podatne na przepełnienie bufora w stercie w funkcji XS random_bytes(). Funkcja ta nie weryfikuje, czy parametr długości jest nieujemny, co może prowadzić do korupcji pamięci i awarii aplikacji.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na łączenie wielu punktów końcowych przy użyciu tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.

Interfejs programowania aplikacji WebSocket nie posiada ograniczeń dotyczących liczby żądań uwierzytelnienia. Brak limitu szybkości może umożliwić atakującemu przeprowadzenie ataków typu denial-of-service lub ataków brute-force w celu uzyskania nieautoryzowanego dostępu.

Backend WebSocket wykorzystuje identyfikatory stacji ładowania do unikalnego powiązania sesji, ale pozwala na wiele punktów końcowych łączących się za pomocą tego samego identyfikatora sesji. Taka implementacja prowadzi do przewidywalnych identyfikatorów sesji, co umożliwia przejęcie sesji lub jej cieniowanie.