Katalog podatności CVE

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linuxie, a także Adobe AIR i jego SDK przed wersją 18.0.0.180, pozwalają atakującym na wywołanie odmowy usługi (dereferencja wskaźnika NULL) lub potencjalnie inne nieokreślone skutki poprzez nieznane wektory.

Podatność typu use-after-free w Adobe Flash Player przed wersją 13.0.0.302 oraz w wersjach 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X, a także przed 11.2.202.481 na Linuxie, oraz w Adobe AIR przed 18.0.0.180, umożliwia atakującym wykonanie dowolnego kodu.

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linuxie, a także Adobe AIR i jego SDK przed 18.0.0.180, pozwalają atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.

Adobe Flash Player oraz Adobe AIR w określonych wersjach zawierają podatność, która pozwala atakującym na wykonanie dowolnego kodu poprzez wykorzystanie nieokreślonego 'zamieszania typów'.

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linux, a także Adobe AIR i jego SDK w wersjach przed 18.0.0.180, pozwalają atakującym na wykonanie dowolnego kodu poprzez wykorzystanie nieokreślonej podatności związanej z 'myleniem typów'.

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linuxie, a także Adobe AIR i jego SDK przed wersją 18.0.0.180, pozwalają atakującym na wykonanie dowolnego kodu poprzez wykorzystanie nieokreślonej podatności związanej z 'myleniem typów'.

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linuxie, a także Adobe AIR i jego SDK przed wersją 18.0.0.180, pozwalają atakującym na wykonanie dowolnego kodu poprzez wykorzystanie nieokreślonej podatności związanej z 'myleniem typów'.

Podatność typu use-after-free w Adobe Flash Player przed wersją 13.0.0.302 oraz w wersjach 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X, a także przed 11.2.202.481 na Linuxie. Podatność ta umożliwia atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.

Adobe Flash Player w wersjach przed 13.0.0.302 oraz 14.x do 18.x przed 18.0.0.203 na systemach Windows i OS X oraz przed 11.2.202.481 na Linuxie, a także Adobe AIR i jego SDK przed wersją 18.0.0.180, pozwalają atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (uszkodzenie pamięci) poprzez nieokreślone wektory.

Funkcja Utf8DecoderBase::WriteUtf16Slow w Google V8, używana w Node.js i io.js, nie weryfikuje dostępności pamięci dla pary zastępczej UTF-16. To może prowadzić do awarii usługi z powodu uszkodzenia pamięci lub innych nieokreślonych skutków.

Wtyczka Easy2Map przed wersją 1.2.5 dla WordPressa zawiera wiele podatności na wstrzykiwanie SQL w pliku includes/Function.php, które umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr mapName w akcji e2m_img_save_map_name do wp-admin/admin-ajax.php oraz inne nieokreślone wektory.

PivotX w wersjach przed 2.3.11 nie weryfikuje nowego rozszerzenia pliku podczas zmiany nazwy pliku z wieloma rozszerzeniami, co pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.

W podatności CVE-2015-5452 występuje luka typu SQL injection w Watchguard XCS w wersjach 9.2 i 10.0 przed kompilacją 150522, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pośrednictwem ciasteczka sid.

W ISC BIND w wersjach 9.7.x do 9.9.x przed 9.9.7-P1 oraz 9.10.x przed 9.10.2-P2, skonfigurowanym jako rekurencyjny resolver z walidacją DNSSEC, zdalni atakujący mogą spowodować awarię usługi poprzez skonstruowanie złośliwych danych strefowych i wykonanie zapytania o nazwę w tej strefie.

Podatność na wstrzykiwanie SQL w kamerze Grandstream GXV3611_HD z firmware przed wersją 1.0.3.9 beta umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez próbę nawiązania sesji TELNET z odpowiednio skonstruowaną nazwą użytkownika.

Podatność typu SQL injection w oprogramowaniu ANTlabs InnGate na urządzeniach IG 3100, InnGate 3.01 E, InnGate 3.10 E, InnGate 3.10 M, SG 4 i SSG 4, gdy używane jest https, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr ppli.

System infuzyjny Hospira LifeCare PCA w wersji 5.0 i wcześniejszych, a być może także w innych wersjach, umożliwia zdalnym atakującym spowodowanie odmowy usługi (wymuszonego ręcznego restartu) poprzez zalewanie pakietami TCP.

W systemie infuzyjnym Hospira LifeCare PCA w wersji 5.0 i wcześniejszych występuje przepełnienie bufora na stosie, które może pozwolić zdalnym atakującym na wykonanie dowolnego kodu.

System infuzyjny Hospira LifeCare PCA przed wersją 7.0 nie weryfikuje ruchu sieciowego związanego z przesyłaniem biblioteki leków, aktualizacji oprogramowania lub zmian konfiguracji. To umożliwia zdalnym atakującym modyfikację ustawień lub danych dotyczących leków za pomocą pakietów na portach TELNET, HTTP, HTTPS lub UPNP.

Klasa AuthenticationFilter w SolarWinds Storage Manager umożliwia zdalnym atakującym przesyłanie i wykonywanie dowolnych skryptów za pomocą nieokreślonych wektorów.