Katalog podatności CVE

Wtyczka WP Affiliate Links w wersjach do 0.1.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka EventPrime w wersjach do 3.0.5 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka CMS Commander dla WordPressa jest podatna na obejście autoryzacji z powodu niewystarczająco unikalnego podpisu kryptograficznego w funkcji 'cmsc_add_site' w wersjach do 2.287 włącznie. Umożliwia to nieautoryzowanym atakującym zmianę '_cmsc_public_key' w konfiguracji wtyczki, co daje dostęp do funkcji zdalnego sterowania wtyczki.

W systemie Linux Kernel odkryto podatność w subsystemie cpufreq, w pliku drivers/cpufreq/qcom-cpufreq-hw.c. Problem ten, występujący podczas odłączania urządzenia, prowadzi do podwójnego zwolnienia zasobów, co skutkuje odmową usługi.

NocoDB w wersjach do 0.106.0 (lub 0.109.1) ma podatność na traversję ścieżki, która pozwala nieautoryzowanemu atakującemu na dostęp do dowolnych plików na serwerze poprzez manipulację parametrem ścieżki w trasie /download.

Podatność związana z nieprawidłowymi wywołaniami zwrotnymi przekazywanymi do interfejsów API, co może prowadzić do restartu systemu. W przypadku skutecznego wykorzystania tej podatności, system może się zrestartować.

W module zarządzania oknami występuje podatność związana z kontrolą uprawnień. Skuteczne wykorzystanie tej podatności może prowadzić do nieprawidłowego działania funkcji.

W module profilu użytkownika występuje podatność związana z określaniem aktualizacji wersji. Skuteczne wykorzystanie tej podatności może prowadzić do powtarzających się aktualizacji HMS Core oraz awarii usług.

W module SettingsProvider występuje nieodpowiednia podatność na autoryzację. Skuteczne wykorzystanie tej podatności może spowodować nieprawidłowe działanie funkcji.

Podatność na nieautoryzowane połączenia w telefonach i tabletach HUAWEI. Skuteczne wykorzystanie tej podatności może wpłynąć na dostępność urządzeń.

Wtyczka WP Backup Manager w wersjach do 1.13.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka Google Map Shortcode autorstwa Alaina Gonzaleza w wersjach do 3.1.2 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Podatność CVE-2022-46850 dotyczy wtyczki Easy Media Replace w wersjach do 0.1.3, która ma lukę w kontroli dostępu, umożliwiającą usunięcie dowolnych plików. Problem ten występuje w kontekście autoryzacji użytkowników.

Potencjalna podatność use-after-free w libaudio, naprawiona przez wyłączenie backendu AAudio na Androidzie poniżej wersji 30. Dotyczy tylko Firefox for Android przed wersją 110.1.0.

W wersji JeecgBoot do 3.5.1 odkryto podatność na wstrzyknięcie SQL w komponencie queryFilterTableDictInfo w kontrolerze SystemApiController.

W JeecgBoot w wersji do 3.5.1 odkryto podatność na wstrzyknięcie SQL w komponencie queryTableDictItemsByCode w kontrolerze SystemApiController.

KioWare dla systemu Windows do wersji 8.33 zawiera niekompletny filtr czarnej listy dla zablokowanych okien dialogowych w systemie Windows 10. Problem ten umożliwia atakującym otwarcie okna dialogowego plików za pomocą funkcji showDirectoryPicker(), co może prowadzić do otwarcia nieuprzywilejowanego wiersza poleceń.

KioWare dla systemu Windows do wersji 8.33 zawiera niekompletny filtr czarnej listy dla zablokowanych okien dialogowych w systemie Windows 10. Problem ten umożliwia atakującym otwarcie okna dialogowego plików za pomocą funkcji window.print(), co może prowadzić do otwarcia nieuprzywilejowanego wiersza poleceń.

W Suricata przed wersją 6.0.13, złośliwy podmiot kontrolujący zewnętrzne źródło reguł może wykorzystać nazwę pliku zestawu danych do wywołania przejścia katalogu, co prowadzi do możliwości zapisu na lokalnym systemie plików. Problem ten został rozwiązany w wersji 6.0.13 poprzez wprowadzenie wymogu użycia opcji allow-absolute-filenames oraz allow-write w konfiguracji reguł zestawów danych.

VirtualSquare picoTCP w wersji do 2.1 nie sprawdza poprawnie, czy rozmiary nagłówków mogą prowadzić do dostępu do danych poza pakietem.