Katalog podatności CVE

Podatność w Apache Airflow CNCF Kubernetes provider w wersji 5.0.0 umożliwia wykonanie dowolnego kodu poprzez zmianę obrazu sidecar XCom i zasobów za pomocą połączenia Airflow. Aby wykorzystać lukę, atakujący musi mieć już podwyższone uprawnienia (Operator lub Administrator).

Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.

Minecraft w wersjach do 1.19 oraz w wersjach pre-release 1.20 przed 7 (Java) umożliwia nadpisywanie dowolnych plików oraz potencjalne wykonanie kodu poprzez spreparowane dane świata zawierające symlink.

W ebankIT 6, publiczne punkty końcowe /public/token/Email/generate oraz /public/token/SMS/generate umożliwiają generowanie wiadomości OTP do dowolnego adresu e-mail lub numeru telefonu bez walidacji. Nie można ich wykorzystać z adresami e-mail lub numerami telefonów zarejestrowanymi w aplikacji.

Wtyczka Supsystic Easy Google Maps w wersjach do 1.11.7 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Wtyczka WooCommerce Product Vendors w wersjach do 2.1.76 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.

Wtyczka WooCommerce Follow-Up Emails (AutomateWoo) w wersjach do 4.9.40 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wtyczka EventPrime w wersjach do 2.8.6 zawiera podatność na nieautoryzowane odzwierciedlone ataki XSS (Cross-Site Scripting). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.

Wtyczka Awesome Motive Duplicator Pro w wersjach do 4.5.11 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Podatność w ntpd-rs, implementacji NTP napisanej w Rust, polega na braku walidacji długości ciasteczek NTS w otrzymanych pakietach NTP. Atakujący może spowodować awarię serwera, wysyłając specjalnie skonstruowany pakiet NTP z ciasteczkiem krótszym niż oczekiwane przez serwer.

Serwer zdalnego zbierania danych Talend Data Catalog przed wersją 8.0-20230413 zawiera punkt końcowy /upgrade, który umożliwia wdrożenie nieautoryzowanego pliku WAR na serwerze.

W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.

System oceny wykładowców Sourcecodester w wersji 1.0 jest podatny na wykonanie dowolnego kodu poprzez skrypt /eval/ajax.php?action=save_user.

System oceny wykładowców Sourcecodester w wersji 1.0 jest podatny na atak typu SQL Injection poprzez parametr 'id' w pliku /eval/admin/manage_task.php.

W WFTPD 3.25, nazwy użytkowników i hashe haseł są przechowywane w otwartym pliku konfiguracyjnym wftpd.ini, który jest dostępny w katalogu WFTPD. Jest to produkt z 2006 roku.

IceCMS w wersji 1.0.0 ma niewłaściwe uprawnienia, co prowadzi do nieautoryzowanego dostępu do API i ujawnienia wrażliwych informacji.

Brak sprawdzenia uprawnień dostępu w kliencie M-Files przed wersją 23.5.12598.0 (z wyłączeniem 23.2 SR2 i nowszych) umożliwia podniesienie uprawnień za pomocą aplikacji rozszerzeń interfejsu użytkownika.

Podatność w CBOT Chatbot związana z niewłaściwym egzekwowaniem integralności wiadomości podczas transmisji w kanale komunikacyjnym umożliwia atakującemu przeprowadzenie ataku typu Adversary in the Middle (AiTM).

Podatność w CBOT Chatbot umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do nadużyć związanych z autoryzacją oraz obejścia uwierzytelniania.