Katalog podatności CVE

Mikogo w wersji 5.2.2.150317 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Mikogo-Service dla systemu Windows. Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwego kodu z uprawnieniami LocalSystem, umieszczając pliki wykonywalne w określonych lokalizacjach ścieżki.

WorkgroupMail w wersji 7.5.1 zawiera podatność na niezacytowaną ścieżkę usługi w konfiguracji usługi Windows, co pozwala lokalnym atakującym na potencjalne wykonanie dowolnego kodu. Atakujący mogą wykorzystać niezacytowaną ścieżkę binarną do wstrzyknięcia złośliwych plików wykonywalnych, które będą uruchamiane z uprawnieniami LocalSystem podczas uruchamiania usługi.

Serwer FTP BlackMoon w wersji 3.1.2.1731 zawiera podatność na niecytowaną ścieżkę usługi, która pozwala lokalnym użytkownikom na potencjalne wykonanie kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać tę podatność, aby wprowadzić złośliwy kod, który zostanie uruchomiony z uprawnieniami konta LocalSystem podczas uruchamiania usługi.

Podatność w Plunet BusinessManager umożliwia przejęcie sesji użytkownika, kradzież danych oraz wykonywanie nieautoryzowanych działań w jego imieniu. Problem dotyczy wersji 10.15.1.

Podatność CWE-611 (niewłaściwe ograniczenie odniesień do zewnętrznych encji XML) w systemie EBO umożliwia nieautoryzowane ujawnienie lokalnych plików, interakcję w obrębie systemu EBO lub wywołanie warunków odmowy usługi. Dzieje się to, gdy lokalny użytkownik przesyła specjalnie spreparowany plik graficzny TGML na serwer EBO ze stacji roboczej.

Podatność CWE-94 (niewłaściwa kontrola generowania kodu) w przetwarzaniu plików graficznych TGML. Może umożliwić wykonanie niezaufanego lub niezamierzonego kodu w aplikacji po otwarciu specjalnie spreparowanej zawartości projektu.

Wtyczka wpForo Forum dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.4.13 włącznie, poprzez deserializację nieufnych danych wejściowych w funkcji 'wpforo_display_array_data'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej wstrzyknięcie obiektu PHP.

Zgłoszono podatność na słabą autoryzację, która dotyczy File Station 5. Zdalni atakujący mogą wykorzystać tę podatność do uzyskania wrażliwych informacji.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu 'Static Code Injection' w File Station 5, która polega na niewłaściwej neutralizacji dyrektyw w statycznie zapisanym kodzie. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do uzyskania dostępu do zastrzeżonych danych lub plików.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska dostęp do konta użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora, która dotyczy kilku wersji systemu operacyjnego QNAP. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, który uzyska konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu przepełnienie bufora w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji pamięci lub awarii procesów.

Zgłoszono podatność typu out-of-bounds write, która wpływa na Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do modyfikacji lub uszkodzenia pamięci.

Zgłoszono podatność typu 'use of externally-controlled format string' w Qsync Central. Zdalny atakujący, posiadając konto użytkownika, może wykorzystać tę podatność do uzyskania poufnych danych lub modyfikacji pamięci.

Zgłoszono podatność typu injection poleceń w dodatku Media Streaming. Atakujący, który uzyska dostęp do lokalnej sieci oraz konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.4 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wyczerpanie pamięci lub CPU, omijając limity walidacji JSON.