Katalog podatności CVE

Podatność dotyczy stron z nieprawidłowymi certyfikatami TLS, gdzie brakowało opóźnienia aktywacji w przeglądarce Firefox. Złośliwa strona mogła wykorzystać ten błąd, aby skłonić użytkownika do kliknięcia w odpowiednie miejsca, co mogło prowadzić do zignorowania błędu certyfikatu.

W systemie zakupów online PuneethReddyHC w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem 'First name' w pliku addsuppliers.php. Atak można przeprowadzić zdalnie.

W systemie rezerwacji oprogramowania SourceCodester Resort Reservation System 1.0 odkryto podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem Cottage Number na stronie zarządzania pokojami.

W repozytorium GitHub gpac/gpac przed wersją 2.2.2 występuje podatność typu przepełnienie bufora w stercie.

Cilium, rozwiązanie do sieci, obserwowalności i bezpieczeństwa, przed wersją 1.13.4 miało lukę, która pozwalała na niezamierzone uzyskanie dostępu do sekretów i usług w różnych przestrzeniach nazw, gdy włączono API Gateway. Brak kontroli nad przestrzenią nazw przy tworzeniu ReferenceGrant umożliwiał atakującym wykorzystanie sekretów, które nie powinny być dla nich widoczne.

Funkcja debugowania w pakiecie lua-resty-json, do commit id 3ef9492bd3a44d9e51301d6adc3cd1789c8f534a, zawierała błąd dostępu poza zakresem, który mógł umożliwić atakującemu przeprowadzenie ataku DoS przy parsowaniu nieufnych danych wejściowych. Należy zauważyć, że ta funkcja debugowania była używana tylko w testach i demonstracjach.

W OTCMS w wersjach do 6.62 zidentyfikowano podatność, która umożliwia atak typu path traversal poprzez manipulację argumentem url w pliku /admin/read.php?mudi=announContent.

W OTCMS w wersjach do 6.62 zidentyfikowano podatność, która umożliwia atak typu path traversal poprzez manipulację argumentem w pliku usersNews_deal.php. Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do plików systemowych.

W OTCMS do wersji 6.62 zidentyfikowano podatność, która umożliwia atak typu path traversal poprzez manipulację argumentem img w pliku admin/readDeal.php?mudi=readQrCode.

W UJCMS w wersjach do 6.0.2 zidentyfikowano podatność w komponencie ZIP Package Handler, która może prowadzić do ujawnienia informacji. Manipulacja argumentem dir umożliwia zdalne przeprowadzenie ataku, chociaż jego złożoność jest stosunkowo wysoka.

W systemie opłat szkolnych SourceCodester w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację parametrem 'branch' w pliku /paysystem/branch.php. Atak można przeprowadzić zdalnie.

Zidentyfikowano podatność w aplikacjach JT2Go oraz Teamcenter Visualization, które są w wersjach wcześniejszych niż określone. Problem polega na odczycie poza przydzielonym buforem podczas analizy specjalnie przygotowanego pliku CGM, co może prowadzić do ujawnienia wrażliwych informacji.

Zidentyfikowano podatność w aplikacjach JT2Go oraz Teamcenter Visualization, które zawierają lukę polegającą na dereferencji wskaźnika null podczas przetwarzania specjalnie przygotowanych plików CGM. Atakujący może wykorzystać tę podatność do awarii aplikacji, co prowadzi do stanu odmowy usługi.

W systemie zarządzania śledzeniem sprzedaży SourceCodester w wersji 1.0 odkryto podatność, która została oceniona jako problematyczna. Manipulacja argumentami firstname/middlename/lastname/username w pliku /classes/Users.php?f=save prowadzi do ataków typu cross-site scripting.

W systemie Performance Indicator System 1.0 od SourceCodester zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem prodname w pliku /admin/addproduct.php.

W systemie zarządzania ubezpieczeniami na życie SourceCodester 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację parametrem nominee_id w pliku insertNominee.php. Atak można przeprowadzić zdalnie.

Wykryto podatność w projekcie y_project RuoYi do wersji 4.7.7, klasyfikowaną jako problematyczną. Dotyczy ona funkcji filterKeyword, gdzie manipulacja wartością argumentu prowadzi do nadmiernego zużycia zasobów.

IBM TXSeries dla wielu platform w wersjach 8.1, 8.2, 9.1 oraz CICS TX Standard i Advanced w wersjach 10.1 i 11.1 nie ustawia atrybutu secure dla tokenów autoryzacyjnych i ciasteczek sesyjnych. To może umożliwić atakującym przechwycenie wartości ciasteczek poprzez wysłanie linku HTTP do użytkownika.

IBM TXSeries dla wielu platform w wersjach 8.1, 8.2, 9.1 oraz CICS TX Standard i Advanced w wersjach 10.1 i 11.1 mogą przesyłać wrażliwe informacje w parametrach zapytań, które mogą być przechwycone przy użyciu technik typu man-in-the-middle.

W systemie SourceCodester Online Discussion Forum Site 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem 'title' w pliku admin/posts/manage_post.php. Atak może być przeprowadzony zdalnie.