Katalog podatności CVE

Podatność w komponencie Java VM serwera bazy danych Oracle umożliwia nieautoryzowanym atakującym z dostępem do sieci kompromitację Java VM. Ataki mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych.

Podatność w produkcie Oracle Financial Services Customer Screening umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Wersja 8.1.2.8.0 jest podatna na tę łatwą do wykorzystania lukę.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Dotyczy to wersji 8.0.7.9, 8.0.8.7 oraz 8.1.2.5.

Podatność w produkcie PeopleSoft Enterprise PeopleTools firmy Oracle dotyczy komponentu bezpieczeństwa. Wersje 8.61-8.62 są podatne na łatwe do wykorzystania ataki, które mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych oraz ich modyfikacji.

Podatność w produkcie Oracle WebLogic Server w ramach Oracle Fusion Middleware (komponent: Usługi internetowe) umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację serwera. Ataki mogą prowadzić do nieautoryzowanego dostępu do krytycznych danych lub pełnego dostępu do wszystkich danych dostępnych na serwerze Oracle WebLogic.

Podatność w produkcie Oracle HCM Common Architecture w ramach Oracle E-Business Suite (komponent: Knowledge Integration) dotyczy wersji 12.2.3-12.2.15. Umożliwia ona nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację Oracle HCM Common Architecture.

Podatność w produkcie Oracle WebLogic Server w ramach Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0 oraz 14.1.1.0.0. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i dostępem do sieci przez HTTP na przejęcie Oracle WebLogic Server.

Podatność w produkcie Oracle HTTP Server z Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0 oraz 14.1.2.0.0. Trudna do wykorzystania podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP na kompromitację Oracle HTTP Server, co może znacząco wpłynąć na inne produkty.

Podatność w produkcie Oracle Identity Manager Connector w Oracle Fusion Middleware (komponent: Core) dotyczy wersji 12.2.1.4.0. Łatwo eksploatowalna podatność pozwala nieautoryzowanemu atakującemu z dostępem do sieci przez TCP na kompromitację Oracle Identity Manager Connector.

Podatność w komponencie Networking produktów Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition. Niezautoryzowany atakujący zdalnie może spowodować zawieszenie lub częste awarie (DOS) systemu.

Podatność w komponencie JAXP produktów Oracle Java SE, Oracle GraalVM for JDK i Oracle GraalVM Enterprise Edition. Niezautoryzowany atakujący z dostępem sieciowym może łatwo wykorzystać tę lukę, uzyskując nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w tych produktach.

Podatność w produkcie Oracle Applications DBA w pakiecie Oracle E-Business Suite (komponent: ADPatch) dotyczy wersji 12.2.3-12.2.15. Jest to trudna do wykorzystania podatność, która pozwala atakującemu z wysokimi uprawnieniami i dostępem do sieci przez HTTP na przejęcie Oracle Applications DBA, wymagająca interakcji ze strony osoby trzeciej.

Podatność w produkcie Oracle Financial Services Analytical Applications Infrastructure umożliwia nieautoryzowanemu atakującemu z dostępem do sieci przez HTTP kompromitację systemu. Dotknięte wersje to 8.0.7.9, 8.0.8.7 oraz 8.1.2.5.

Podatność w produkcie Oracle Life Sciences Empirica Signal umożliwia atakującemu z niskimi uprawnieniami i dostępem do sieci przez HTTP kompromitację systemu. Dotyczy to wersji 9.2.1-9.2.3 i może prowadzić do nieautoryzowanego dostępu do krytycznych danych.

HKUDS OpenHarness przed poprawką PR #156 domyślnie udostępnia polecenia cyklu życia wtyczek, takie jak /plugin install, /plugin enable, /plugin disable oraz /reload-plugins, zdalnym nadawcom. Atakujący, którzy uzyskają dostęp przez warstwę kanałową, mogą zdalnie zarządzać zaufaniem wtyczek i stanem aktywacji, co umożliwia nieautoryzowaną instalację i aktywację wtyczek w systemie.

WWBN AVideo to otwarta platforma wideo. W wersjach 29.0 i wcześniejszych, punkt końcowy zapisu lokalizacji (`locale/save.php`) konstruuje ścieżkę pliku, bezpośrednio łącząc `$_POST['flag']` w ścieżkę bez jakiejkolwiek sanitizacji. Parametr `$_POST['code']` jest następnie zapisywany dosłownie w tej ścieżce, co pozwala na wykonanie zdalnego kodu.

Biblioteka `github.com/gomarkdown/markdown` w języku Go, służąca do przetwarzania tekstu Markdown i renderowania go jako HTML, ma podatność na przetwarzanie niepoprawnych danych wejściowych. Wprowadzenie tekstu zawierającego znak <, który nie jest następnie zamknięty znakiem >, prowadzi do odczytu poza granicami lub paniki.

goshs to SimpleHTTPServer napisany w Go. W wersjach od 2.0.0-beta.4 do 2.0.0-beta.5, goshs ujawnia poświadczenia ACL oparte na plikach przez publiczny kanał współpracowników, gdy serwer jest uruchomiony bez globalnej autoryzacji podstawowej.

goshs to SimpleHTTPServer napisany w Go. W wersjach od 2.0.0-beta.4 do 2.0.0-beta.5 występuje problem z fałszywym żądaniem między witrynami (CSRF) w trasach HTTP GET zmieniających stan. Atakujący może spowodować, że już uwierzytelniona przeglądarka wywoła destrukcyjne akcje, takie jak ?delete i ?mkdir.

ZEBRA, węzeł Zcash napisany w Rust, przed wersją 4.3.0 zebrad i 5.0.1 zebra-network, miał problem z deserializacją wiadomości addr lub addrv2, co pozwalało na alokację pamięci przekraczającej dozwolony limit. Atakujący mógł spowodować awarie z powodu braku pamięci, wysyłając wiele takich wiadomości przez różne połączenia.