Katalog podatności CVE

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_organization_assemble_control/jaxrs/unit/ w komponencie Personal Profile Page. Manipulacja argumentami name/shortName/distinguishedName/pinyin/pinyinInitial/levelName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W O2OA do wersji 10.0-410 wykryto podatność cross-site scripting (XSS) w pliku /x_processplatform_assemble_designer/jaxrs/form, w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent zapowiedział poprawkę w nowej wersji.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_cms_assemble_control/jaxrs/script w komponencie Personal Profile Page, a manipulacja argumentami name/alias/description prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/form w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 znaleziono podatność typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcjonalności w pliku /x_cms_assemble_control/jaxrs/design/appdict w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

W O2OA w wersjach do 10.0-410 wykryto lukę typu cross-site scripting (XSS). Dotyczy ona nieznanej funkcji w pliku /x_program_center/jaxrs/agent w komponencie Personal Profile Page, a manipulacja prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.

W O2OA (do wersji 10.0-410) strona profilu osobistego w pliku /x_portal_assemble_designer/jaxrs/page jest podatna na cross-site scripting. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny; dostawca zapowiedział poprawkę w nowej wersji.

tracing to framework do instrumentacji programów Rust w celu zbierania strukturalnych informacji diagnostycznych opartych na zdarzeniach. W wersjach przed 0.3.20 tracing-subscriber był podatny na ataki wstrzykiwania sekwencji ucieczki ANSI. Niezaufane dane wejściowe użytkownika zawierające sekwencje ucieczki ANSI mogły być wstrzykiwane do wyjścia terminala podczas logowania, potencjalnie pozwalając atakującym na manipulowanie paskami tytułu terminala, czyszczenie ekranu lub modyfikowanie wyświetlania terminala oraz potencjalne wprowadzanie użytkowników w błąd. Wersja 0.3.20 naprawia tę podatność poprzez escapowanie znaków kontrolnych ANSI podczas zapisywania zdarzeń do miejsc, które mogą być wyświetlane w terminalu. Obejście polega na unikaniu drukowania logów do emulatorów terminala bez escapowania sekwencji kontrolnych ANSI.

W Centurion ERP w wersjach od 1.12.0 do przed 1.21.0 uwierzytelniony użytkownik może przeglądać szczegóły wszystkich tokenów uwierzytelniających w bazie danych, w tym zaszyfrowane (hash) tokeny. Podatność naprawiono w wersji 1.21.0.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_portal_assemble_designer/jaxrs/widget w komponencie Personal Profile Page. Manipulacja danymi prowadzi do cross site scripting. Atak można wykonać zdalnie, a exploit został ujawniony publicznie; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_portal_assemble_designer/jaxrs/dict/ w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description powoduje cross site scripting. Możliwe jest zdalne wykorzystanie, a exploit został opublikowany; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 wykryto podatność w pliku /x_program_center/jaxrs/script w komponencie Personal Profile Page. Manipulacja argumentami name/alias/description prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit jest publiczny; producent zapowiedział poprawkę w nowej wersji.

W O2OA do wersji 10.0-410 zidentyfikowano słabość w pliku /x_organization_assemble_control/jaxrs/person/ w komponencie Personal Profile Page. Manipulacja argumentem Description może prowadzić do cross site scripting. Atak można przeprowadzić zdalnie; producent zapowiedział poprawkę w nowej wersji.

W Portabilis i-Educar do wersji 2.10 zidentyfikowano podatność w nieznanej funkcji pliku /intranet/educar_projeto_cad.php w komponencie Cadastrar projeto Page. Manipulacja argumentami nome/observacao prowadzi do cross site scripting. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.

W Portabilis i-Educar do wersji 2.10 stwierdzono podatność w nieznanej funkcji pliku /intranet/educar_transferencia_tipo_cad.php w komponencie Cadastrar tipo de transferência Page. Manipulacja argumentami nm_tipo/desc_tipo powoduje cross site scripting. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

W appneta tcpreplay 4.5.1 wykryto podatność w funkcji calc_sleep_time w pliku send_packets.c, prowadzącą do dzielenia przez zero. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony. Zaleca się aktualizację do wersji 4.5.3-beta3, która naprawia problem.

W O2OA do wersji 10.0-410 odkryto podatność w pliku /x_organization_assemble_personal/jaxrs/definition/calendarConfig. Manipulacja argumentem toMonthViewName prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony; producent zapowiedział poprawkę w nowej wersji.

W bibliotece Oberon PSA Crypto firmy Oberon microsystems AG (wszystkie wersje do 1.5.1) błędnie używano ziarna składającego się z samych zer do paddingu RSA-OAEP zamiast wygenerowanych losowych bajtów. Prowadzi to do deterministycznego RSA, a w konsekwencji do utraty poufności dla odgadywalnych wiadomości, rozpoznawania powtarzających się wiadomości i utraty dowodów bezpieczeństwa.

W coze-studio do wersji 0.2.4 w pliku backend/domain/plugin/encrypt/aes.go występuje użycie zaszyfrowanego na stałe klucza kryptograficznego (AuthSecretKey/StateSecretKey/OAuthTokenSecretKey). Atak można przeprowadzić zdalnie, ale jest on uważany za trudny i o wysokiej złożoności. Producent zalecił wdrożenie łatki i zapowiedział zarządzanie kluczami przez konfigurację.

Podatność typu out-of-bounds read w systemie macOS została naprawiona poprzez poprawę sprawdzania granic. Problem występuje w macOS Sequoia 15.6, macOS Sonoma 14.7.7 i macOS Ventura 13.7.7. Aplikacja może spowodować nieoczekiwane zakończenie działania systemu.