Katalog podatności CVE

W Akamai Enterprise Application Access (EAA) przed 2025-01-17 odkryto problem, który pozwala administratorowi, znającemu 128-bitowy GUID konektora innego najemcy, na wykonywanie poleceń debugowania na tym konektorze.

Wiele przełączników jest podatnych na lukę typu out-of-bounds write. Luka ta wynika z niewystarczającej walidacji danych wejściowych, co pozwala na zapis danych w pamięci poza granicami bufora.

Wtyczka Flexible Wishlist dla WooCommerce jest podatna na atak typu Stored Cross-Site Scripting poprzez parametr 'wishlist_name' we wszystkich wersjach do 1.2.25 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Mailcow do wersji 2024-11b ma podatność na fikcję sesji w panelu webowym. Umożliwia to zdalnym atakującym ustawienie identyfikatora sesji, gdy HSTS jest wyłączone w przeglądarce ofiary.

W oprogramowaniu AutoLib Software Systems OPAC w wersji 20.10 odkryto wiele kluczy API ujawnionych w kodzie źródłowym. Atakujący mogą wykorzystać te klucze do uzyskania dostępu do backendu API lub innych wrażliwych informacji.

W DTEX DEC-M (DTEX Forwarder) w wersji 6.1.1 odkryto problem związany z usługą com.dtexsystems.helper, która nie weryfikuje krytycznych wymagań klienta podczas komunikacji międzyprocesowej XPC. Brak odpowiedniej walidacji umożliwia złośliwym aktorom wykorzystanie metod usługi poprzez nieautoryzowane połączenia klientów.

Avi Load Balancer zawiera podatność na nieautoryzowany, ślepy atak SQL Injection, który został zgłoszony prywatnie do VMware. Dostępne są poprawki, które eliminują tę podatność w dotkniętych produktach VMware.

W produkcie openshift-gitops-operator-container wykryto podatność polegającą na automatycznym stosowaniu etykiety openshift.io/cluster-monitoring do wszystkich przestrzeni nazw, w których wdrożono instancję ArgoCD CR. Umożliwia to utworzenie fałszywej reguły PrometheusRule, która jest rozpowszechniana w całym klastrze, co może negatywnie wpłynąć na platformę monitorującą.

W komponentach TeamViewer_service.exe klientów TeamViewer przed wersją 15.62 dla systemu Windows występuje niewłaściwe neutralizowanie ograniczników argumentów, co pozwala atakującemu z lokalnym, nieuprzywilejowanym dostępem do systemu Windows na podniesienie uprawnień poprzez wstrzykiwanie argumentów.

W OpenShift Service Mesh w wersjach 2.6.3 i 2.5.6 znaleziono lukę, która może prowadzić do unikania limitów, obejścia kontroli dostępu, wyczerpania CPU i pamięci oraz ataków powtórkowych z powodu niewłaściwej sanitizacji nagłówków HTTP w Envoy.

Wtyczki WS Form LITE i PRO dla WordPressa są podatne na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr url we wszystkich wersjach do 1.10.13 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Sterownik wyświetlacza GPU NVIDIA dla systemów Windows i Linux zawiera podatność, w której dane są zapisywane poza końcem lub przed początkiem bufora. Skuteczne wykorzystanie tej podatności może prowadzić do ujawnienia informacji, odmowy usługi lub manipulacji danymi.

Oprogramowanie NVIDIA vGPU zawiera podatność w Virtual GPU Manager, która pozwala złośliwemu gościowi na spowodowanie uszkodzenia pamięci. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, ujawnienia informacji lub manipulacji danymi.

Podatność CVE-2025-22865 dotyczy funkcji ParsePKCS1PrivateKey, która przetwarza klucz RSA. W przypadku braku wartości CRT, funkcja ta powoduje panikę podczas weryfikacji poprawności klucza.

Nowa funkcjonalność GOAUTH nieprawidłowo segmentowała dane uwierzytelniające według domen, co umożliwiało złośliwemu serwerowi żądanie danych, do których nie powinien mieć dostępu. Domyślnie dotyczyło to tylko danych uwierzytelniających przechowywanych w pliku .netrc użytkowników.

Podatność CVE-2024-45339 dotyczy sytuacji, w której logi są zapisywane w katalogu, do którego każdy ma dostęp do zapisu. Nieuprzywilejowany atakujący może przewidzieć ścieżkę pliku logu procesu uprzywilejowanego i stworzyć symboliczne łącze do wrażliwego pliku, co prowadzi do jego nadpisania.

Podatność Cross Site Request Forgery (CSRF) w LifestyleStore v1.0 pozwala zdalnemu atakującemu na wykonywanie nieautoryzowanych działań w imieniu uwierzytelnionego użytkownika, co może prowadzić do modyfikacji konta lub naruszenia danych.

W AXESS ACS (Auto Configuration Server) w wersji do 5.2.0, niesanitizowane dane wejściowe użytkownika w API TR069 umożliwiają zdalnym, nieautoryzowanym atakującym spowodowanie trwałego ataku typu Denial of Service poprzez odpowiednio skonstruowane żądania TR069 na porcie TCP 9675 lub 7547. Ponowne uruchomienie nie rozwiązuje problemu trwałego Denial of Service.

Wykryto problem z dereferencją wskaźnika null, który został rozwiązany poprzez poprawę walidacji danych wejściowych. Problem ten został naprawiony w iOS 18.3, iPadOS 18.3, iPadOS 17.7.6, macOS Sequoia 15.3, macOS Sonoma 14.7.5 oraz macOS Ventura 13.7.5.

Problem z uprawnieniami został rozwiązany dzięki poprawionej walidacji. Podatność została naprawiona w macOS Sequoia 15.3, macOS Sonoma 14.7.3 oraz macOS Ventura 13.7.3.