Katalog podatności CVE

Złośliwa aplikacja na urządzeniu użytkownika może wysłać Intent do Firefox for Android z dowolnymi nagłówkami, co może prowadzić do ataków takich jak nadużycie uprawnień otoczenia lub fiksacji sesji. Problem rozwiązano, zezwalając tylko na określone bezpieczne nagłówki. Podatność dotyczy Firefox < 84.

Podatność na atak typu Cross Site Scripting (XSS) w routerze Digisol DG-HR3400. Luka występuje w module czasu i daty (pole nazwy serwera NTP) oraz w filtrze URL (pole słowa kluczowego).

W routerze Beetel 777VR1 odkryto podatność na atak XSS, którą można wykorzystać poprzez nazwę serwera NTP w ustawieniach czasu systemowego oraz pole "Keyword" w filtrze URL.

Atakujący może wysłać specjalnie przygotowaną wiadomość do Crimson 3.1 (wersje kompilacji przed 3119.001), co może prowadzić do wycieku dowolnych lokalizacji pamięci.

W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 wykryto podatność na atak XSS w panelu administratora. Atakujący może wstrzyknąć złośliwy kod JavaScript w pole 'Pełna nazwa administratora', który uruchamia się przy każdej wizycie administratora na stronie profilu.

W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 występuje podatność na atak XSS w panelu administracyjnym w zakładce Zarządzanie użytkownikami. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu Pełna nazwa podczas rejestracji użytkownika, który wykona się przy każdej wizycie administratora w tej zakładce.

W Invision Community 4.5.4 występuje podatność na atak XSS w polu nazwy pola (Field Name). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się przy każdym otwarciu tego pola przez użytkownika.

WonderCMS 3.1.3 zawiera podatność na cross-site scripting (XSS) w panelu administracyjnym. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu słów kluczowych strony, który wykona się przy każdej wizycie użytkownika na stronie, umożliwiając kradzież ciasteczek sesyjnych.

W CoasterCMS w wersji 5.8.18 występuje podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wykraść ciasteczko sesji użytkownika i przekierować go na złośliwą stronę, ponieważ podatność jest wyzwalana na stronie głównej aplikacji.

W DotCMS w wersji 20.11 w panelu administracyjnym dodawania szablonów występuje podatność na trwały atak XSS. Umożliwia ona atakującemu przejęcie sesji użytkownika poprzez kradzież ciasteczek i eskalację uprawnień.

W systemie OpenAsset Digital Asset Management (DAM) w wersji 12.0.19 i wcześniejszych brakuje kontroli dostępu na punkcie końcowym /Stream/ProjectsCSV, co pozwala nieuwierzytelnionym atakującym na uzyskanie dostępu do potencjalnie wrażliwych informacji o projektach przechowywanych przez aplikację.

OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).

OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).

Podatność w Firefox dla Androida, dotycząca funkcji zdalnego debugowania przez USB, która była aktywna na Androidzie w wersji starszej niż 6.0. Niezaufane aplikacje mogły połączyć się z tą funkcją i działać z uprawnieniami przeglądarki, czytając i modyfikując treści internetowe.

OneCRL nie działał w nowym Firefoksie dla Androida z powodu braku inicjalizacji usługi. Mogło to skutkować brakiem egzekwowania niektórych odwołań certyfikatów. Uwaga: problem dotyczy tylko Firefoksa dla Androida. Inne systemy operacyjne nie są dotknięte. Podatność dotyczy Firefoksa < 83.

Gdy użytkownik pobiera plik w Firefox for Android, jeśli ustawione jest ciasteczko, zostanie ono ponownie wysłane podczas kolejnej operacji pobierania w tej samej domenie, niezależnie od tego, czy oryginalne i kolejne żądania były w trybie prywatnym czy nieprywatnym. Podatność dotyczy Firefox < 83.

Podczas akceptowania złośliwego intencji z innych zainstalowanych aplikacji, Firefox for Android akceptował manifesty z dowolnych ścieżek plików i pozwalał na deklarowanie manifestów aplikacji webowych dla innych źródeł. Może to być użyte do uzyskania dostępu pełnoekranowego w celu fałszowania interfejsu użytkownika oraz może prowadzić do ataków cross-origin na docelowe strony. Podatność dotyczy tylko Firefox for Android i wpływa na wersje przed 83.

Typ GeneralName w X.509 jest używany do reprezentowania różnych typów nazw, w tym EDIPartyName. Funkcja GENERAL_NAME_cmp w OpenSSL porównuje instancje GENERAL_NAME, ale w przypadku EDIPARTYNAME może prowadzić do dereferencji wskaźnika NULL i awarii, co może skutkować atakiem typu denial of service.