Katalog podatności CVE

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowego zapisu do bufora.

IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na odczyt dowolnych plików z powodu nieprawidłowego ograniczenia ścieżki do katalogu.

IBM Documentation Offline w wersjach od 1.0.0 do 1.4.1 może pozwolić zdalnemu atakującemu na sfałszowanie prawidłowych tokenów sesji z powodu użycia twardo zakodowanego klucza kryptograficznego.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić lokalnemu atakującemu na uzyskanie poufnych informacji lub modyfikację danych z powodu niewłaściwego zarządzania uprawnieniami.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu przepełnienia bufora.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji lub spowodowanie odmowy usługi z powodu odczytu poza zakresem.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu błędu całkowitoliczbowego podczas przetwarzania nagłówków dużych obiektów DRDA.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu odczytu poza zakresem.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu lub uzyskanie poufnych informacji z powodu nieprawidłowego uwierzytelniania.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowego uwierzytelniania.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na uzyskanie poufnych informacji z powodu podatności na przechodzenie po ścieżkach (path traversal).

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu wyczerpania zasobów.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu użycia niezainicjalizowanej zmiennej.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na spowodowanie odmowy usługi z powodu nieprawidłowego przetwarzania żądań resynchronizacji DRDA i DDM.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji i wykonanie nieautoryzowanych operacji z powodu nieprawidłowej walidacji tokenów uwierzytelniających.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na obejście zabezpieczeń z powodu niewłaściwego zarządzania uprawnieniami.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić zdalnemu uwierzytelnionemu atakującemu na manipulację plikami z powodu podatności na przechodzenie po ścieżkach (path traversal).

Oprogramowanie Philips Hue Bridge Pro firmy Signify zawiera wbudowany broker MQTT Mosquitto, który nasłuchuje na wszystkich interfejsach sieciowych bez uwierzytelniania. Nieuwierzytelniony atakujący z dostępem sieciowym do usługi MQTT może odczytywać dane i sterować podłączonymi światłami. Poprawka w wersji 1.77.2071318010.

Trigger.dev to platforma do budowania i wdrażania w pełni zarządzanych agentów AI i workflow. Przed wersją 4.5.6, POST /api/v1/deployments/:deploymentId/background-workers wywołuje CreateDeploymentBackgroundWorkerServiceV4.call() w apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, gdzie workerDeployment.findFirst() wybiera wdrożenie po friendlyId bez predykatu environmentId. Osoba wywołująca z ważnym kluczem API dla jednego projektu może przesłać identyfikator wdrożenia innego projektu, powiązać worker tła należący do atakującego z wdrożeniem ofiary i przenieść wdrożenie ofiary ze stanu BUILDING do DEPLOYING. Ten problem jest naprawiony w wersji 4.5.6.

Trigger.dev przed wersją 4.5.2 zawiera podatność w funkcji addGoogleStrategy(), która przekazuje adres e-mail z profilu Google do findOrCreateGoogleUser() bez wymagania potwierdzenia email_verified. Gdy istnieje konto z tym samym adresem e-mail, atakujący może przejąć konto ofiary, używając niezweryfikowanego adresu e-mail z własnego profilu Google.