Katalog podatności CVE

W jądrze Linux w systemie plików f2fs podczas ustawiania atrybutu rozszerzonego (xattr) lista xattr nie była jawnie zakończona znakiem null. To usuwa kruche założenie, że nieużywana przestrzeń xattr jest zawsze wyzerowana.

Podatność na przejęcie sesji w przestarzałym wtyczce VMware Enhanced Authentication może umożliwić złośliwemu użytkownikowi z nieuprzywilejowanym dostępem lokalnym do systemu Windows przejęcie uprzywilejowanej sesji EAP, gdy jest ona inicjowana przez uprzywilejowanego użytkownika domeny na tym samym systemie.

Podatność CVE-2024-22054 dotyczy nieprawidłowego pakietu odkrywania, który może być wysłany przez złośliwego aktora mającego już dostęp do sieci. Taki pakiet może zakłócić funkcjonalność zarządzania urządzeniami oraz ich odkrywania.

Wersja 2.22.0 aplikacji Loomio pozwala na wykonywanie dowolnych poleceń na serwerze. Jest to możliwe z powodu podatności na wstrzykiwanie poleceń systemowych (OS Command Injection).

W Undertow znaleziono podatność, która wpływa na serwer obsługujący protokół wildfly-http-client. Gdy złośliwy użytkownik otwiera i zamyka połączenie z portem HTTP serwera, a następnie natychmiast je zamyka, serwer może wyczerpać pamięć i limity otwartych plików. Podczas aktualizacji HTTP do remoting, WriteTimeoutStreamSinkConduit wycieka połączenia, jeśli RemotingConnection jest zamknięty przez Remoting ServerConnectionOpenListener, co prowadzi do wycieku całego drzewa zależności.

Podatność w OpenText ALM Octane w wersji 16.2.100 i nowszych wynika z nieprawidłowej neutralizacji danych wejściowych. Może ona umożliwić zdalne wykonanie kodu.

Podatność związana z użyciem twardo zakodowanych poświadczeń w aplikacji mobilnej SoliPay firmy Utarit Information Technologies umożliwia odczyt wrażliwych ciągów w pliku wykonywalnym. Problem dotyczy wersji aplikacji przed 5.0.8.

Podatność w aplikacji mobilnej SoliPay firmy Utarit Information Technologies polega na niewłaściwym użyciu uprzywilejowanych interfejsów API, co pozwala na zbieranie danych dostarczanych przez użytkowników.

W Unbound znaleziono podatność związaną z nieprawidłowymi domyślnymi uprawnieniami, umożliwiającą każdemu procesowi spoza grupy unbound modyfikację konfiguracji środowiska uruchomieniowego Unbound. Jeśli proces może połączyć się przez localhost na port 8953, może zmienić konfigurację usługi unbound.service. Ta wada pozwala nieuprzywilejowanemu atakującemu manipulować działającą instancją, potencjalnie zmieniając forwardery, umożliwiając śledzenie wszystkich zapytań przekazywanych przez lokalny resolver, a w niektórych przypadkach zakłócając rozwiązywanie nazw.

W funkcji dekompresji w registry-support znaleziono lukę. Problem ten może być wywołany, gdy nieautoryzowany zdalny atakujący nakłoni użytkownika do przetworzenia pliku devfile, który używa słów kluczowych `parent` lub `plugin`.

Nieprawidłowa kontrola dostępu w trybie zarządzania systemem (SMM) może umożliwić atakującemu dostęp do pamięci flash SPI, co potencjalnie prowadzi do wykonania dowolnego kodu.

Podatność w Microsoft WDAC OLE DB provider dla SQL Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do uruchomienia złośliwego kodu na serwerze.

Podatność w usłudze drukowania systemu Windows umożliwia fałszowanie (spoofing). Atakujący może wykorzystać tę lukę, aby podszyć się pod zaufane źródło lub sfałszować dane.

Podatność dotycząca podniesienia uprawnień w Microsoft Message Queuing (MSMQ).

Podatność w .NET umożliwia odmowę usługi (DoS).

Podatność w Dynamics 365 Sales umożliwia fałszowanie (spoofing). Atakujący może podszyć się pod innego użytkownika lub system.

Podatność XSS w Microsoft Dynamics 365 (on-premises) umożliwia wstrzyknięcie złośliwego skryptu. Atakujący może wykonać skrypt w przeglądarce ofiary.

Podatność w Dynamics 365 Field Service umożliwia fałszowanie (spoofing). Atakujący może podszyć się pod innego użytkownika lub system.