Katalog podatności CVE

W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie poleceń w funkcji sys_mgmt. Atakujący może zdalnie wykonać dowolne polecenia systemowe.

W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 wykryto nieprawidłową kontrolę dostępu w funkcji mService w pliku phpinf.php. Podatność ta może pozwolić nieautoryzowanemu użytkownikowi na wykonanie niepożądanych operacji.

W systemie RELY-PCIe w wersjach od v22.2.1 do v23.1.0 odkryto podatność na wstrzykiwanie kodu przez funkcję getParams w pliku phpinf.php. Atakujący może zdalnie wykonać dowolny kod, co prowadzi do pełnego przejęcia kontroli nad systemem.

W komponentach Eclipse Dataspace, od wersji 0.5.0 do 0.9.0, kontroler ConsumerPullTransferTokenValidationApiController nie sprawdza ważności tokenów (w tym daty wygaśnięcia, daty rozpoczęcia, daty wydania), co może pozwolić atakującemu na ominięcie sprawdzenia wygaśnięcia tokenu. Problem ten występuje tylko w przypadku skonfigurowania dataplane do obsługi http proxy consumer pull oraz włączenia modułu 'transfer-data-plane'.

W podatności CVE-2024-7609 w oprogramowaniu Vidco Software VOC TESTER występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co umożliwia atak typu Path Traversal. Problem dotyczy wersji VOC TESTER przed 12.34.8.

W serwerze i stacjach roboczych Command Centre występuje podatność na zdalne wykonanie kodu (RCE) z powodu włączenia funkcjonalności z niezaufanej sfery kontrolnej. Dotyczy to wersji 9.10 przed vEL9.10.1530 (MR2), 9.00 przed vEL9.00.2168 (MR4), 8.90 przed vEL8.90.2155 (MR5), 8.80 przed vEL8.80.1938 (MR6) oraz wszystkich wersji 8.70 i wcześniejszych.

Podatność w bibliotece dset przed wersją 3.1.4 umożliwia atak typu Prototype Pollution poprzez funkcję dset z powodu niewłaściwego oczyszczania danych wejściowych. Atakujący może wstrzyknąć złośliwą właściwość obiektu za pomocą wbudowanej właściwości __proto__, która jest rekurencyjnie przypisywana do wszystkich obiektów w programie.

Podatność CVE-2024-8504 pozwala atakującemu z uwierzytelnionym dostępem do VICIdial jako 'agent' na wykonywanie dowolnych poleceń powłoki jako użytkownik 'root'. Atak ten może być połączony z CVE-2024-8503, co umożliwia wykonywanie poleceń powłoki z perspektywy nieautoryzowanej.

Serwer WWW SpiderControl SCADA ma podatność, która może pozwolić atakującemu na przesyłanie specjalnie przygotowanych złośliwych plików bez uwierzytelnienia.

Router HCX H822 4G LTE firmy Shenzhen Haichangxing Technology zawiera podatność polegającą na nieprawidłowej kontroli dostępu. Nieuwierzytelniony reset do ustawień fabrycznych oraz wstrzykiwanie poleceń umożliwiają ujawnienie informacji i uzyskanie dostępu do powłoki root.

Podatność w Microsoft AutoUpdate (MAU) umożliwia podniesienie uprawnień. Osoba atakująca może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Podatność w Microsoft Power Automate Desktop umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać ją do uruchomienia złośliwego kodu na systemie ofiary.

Podatność typu Cross-site Scripting (XSS) w Microsoft Dynamics 365 (wersja on-premises). Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.

Podatność w Microsoft Windows Admin Center umożliwia ujawnienie informacji. Atakujący może wykorzystać tę lukę do uzyskania dostępu do poufnych danych.

Podatność ujawniania informacji w Microsoft SQL Server. Może pozwolić atakującemu na uzyskanie dostępu do poufnych danych.

Podatność w agencie maszyny wirtualnej Azure Network Watcher umożliwia podniesienie uprawnień. Atakujący może wykorzystać tę lukę, aby uzyskać nieautoryzowany dostęp do zasobów lub funkcji administracyjnych.

Podatność zdalnego wykonywania kodu w Azure CycleCloud. Umożliwia atakującemu wykonanie kodu w kontekście aplikacji.

Podatność w usłudze licencjonowania pulpitu zdalnego systemu Windows umożliwia zdalne wykonanie kodu. Atakujący może wykonać dowolny kod na serwerze.

Podatność podniesienia uprawnień w Microsoft Excel. Umożliwia atakującemu uzyskanie wyższych uprawnień w kontekście aplikacji.