Katalog podatności CVE

Problem został rozwiązany poprzez poprawę kontroli. Przetwarzanie treści internetowych może prowadzić do wykonania dowolnego kodu.

Problem został rozwiązany poprzez poprawę kontroli. Użytkownik mógł uzyskać podwyższone uprawnienia.

Problem został rozwiązany poprzez poprawę kontroli. Przetwarzanie pliku może prowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.

ModSecurity w wersji 3.x przed 3.0.10 zawiera problem z nieefektywną złożonością algorytmiczną.

W wersjach wtyczki Jenkins dla ServiceNow DevOps przed 1.38.1 występuje luka związana z brakiem autoryzacji, która, jeśli zostanie wykorzystana, może prowadzić do niepożądanego ujawnienia wrażliwych informacji.

Nieprawidłowa implementacja inicjalizacji w Portmapperze używanym w B&R Industrial Automation Automation Runtime <G4.93 pozwala na ataki sieciowe przez nieautoryzowanych użytkowników, co może prowadzić do trwałych warunków odmowy usługi.

Platforma SolarWinds była podatna na lukę związaną z nieprawidłowym porównaniem. Luka ta umożliwia użytkownikom z dostępem administracyjnym do konsoli internetowej SolarWinds wykonywanie dowolnych poleceń z uprawnieniami SYSTEM.

Platforma SolarWinds była podatna na lukę związaną z nieprawidłową kolejnością zachowań. Luka ta umożliwia użytkownikom z dostępem administracyjnym do konsoli internetowej SolarWinds wykonywanie dowolnych poleceń z uprawnieniami NETWORK SERVICE.

Podatność w ASUS SetupAsusServices v1.0.5.1 w ramach Asus Armoury Crate v5.3.4.0 wynika z niecytowanej ścieżki usługi, co umożliwia lokalnym użytkownikom uruchamianie procesów z podwyższonymi uprawnieniami.

Przepełnienie bufora w stercie w funkcji paddle.trace w PaddlePaddle przed wersją 2.5.0. Ta wada może prowadzić do odmowy usługi, ujawnienia informacji lub większych szkód.

W PaddlePaddle przed wersją 2.5.0 występuje podatność typu use after free w funkcji paddle.diagonal, co prowadzi do potencjalnie wykorzystywalnego stanu.

Podatność na obejście uwierzytelniania w urządzeniach sieciowych Fujitsu serii Si-R i SR-M pozwala nieautoryzowanemu atakującemu z sieci sąsiedniej na uzyskanie, zmianę i/lub resetowanie ustawień konfiguracyjnych dotkniętych produktów.

Sprzęt do transmisji wideo w czasie rzeczywistym Fujitsu 'serii IP' używa twardo zakodowanych poświadczeń, co może umożliwić zdalnemu, nieautoryzowanemu atakującemu inicjalizację lub ponowne uruchomienie produktów, co w rezultacie przerywa transmisję wideo.

Armeria, framework mikroserwisowy wspierany przez Spring, miał problem z obsługą zmiennych macierzowych w wersjach przed 1.24.3. W wyniku tego, dekoratory Armerii mogły nie być wywoływane, co pozwalało na ominięcie autoryzacji przez atakującego, który wysłałby specjalnie skonstruowane żądanie.

Certifi, zbiór certyfikatów głównych do weryfikacji SSL, przed wersją 2023.07.22 uznawał certyfikaty główne 'e-Tugra'. Po zgłoszeniu problemów z bezpieczeństwem w systemach 'e-Tugra', certyfikaty te zostały usunięte z magazynu certyfikatów w wersji 2023.07.22.

Cryptomator to oprogramowanie do szyfrowania danych dla użytkowników przechowujących pliki w chmurze. W wersjach przed 1.9.2, instalator MSI dostępny na stronie głównej umożliwia eskalację uprawnień lokalnych dla użytkowników o niskich uprawnieniach, jeśli oprogramowanie jest już zainstalowane.

Plexis Archiver przed wersją 4.8.0 ma lukę, która pozwala na tworzenie dowolnych plików oraz potencjalne zdalne wykonanie kodu podczas ekstrakcji archiwum. Problem występuje, gdy ekstrakcja dotyczy symbolicznego linku, którego cel nie istnieje.

DataEase to narzędzie do analizy wizualizacji danych, które przed wersją 1.18.9 miało podatność na wstrzyknięcie SQL, umożliwiającą obejście czarnych list. Podatność została naprawiona w wersji 1.18.9.

Sentry to platforma do śledzenia błędów i monitorowania wydajności. W wersjach od 8.21.0 do 23.5.2, uwierzytelniony użytkownik mógł pobrać pakiet debugowania lub artefakt z dowolnej organizacji i projektu, znając identyfikator pakietu, bez konieczności posiadania uprawnień.