Katalog podatności CVE

W interfejsie zarządzania siecią routera Totolink A8000RU, funkcja setOpenVpnCertGenerationCfg jest podatna na wstrzyknięcie poleceń systemu operacyjnego przez argument servername.

W interfejsie zarządzania siecią routera Totolink A8000RU w wersji 7.1cu.643_b20200521 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji setL2tpServerCfg w pliku /cgi-bin/cstecgi.cgi, gdzie atakujący może manipulować argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W interfejsie zarządzania siecią routera Totolink A8000RU wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem występuje w funkcji setQosCfg pliku /cgi-bin/cstecgi.cgi, gdzie argument enable jest niewłaściwie filtrowany. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W interfejsie zarządzania siecią routera Totolink A8000RU stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setWiFiWpsCfg w pliku /cgi-bin/cstecgi.cgi, gdzie argument wscDisabled jest nieprawidłowo przetwarzany. Atak może być wykonany zdalnie, a exploit jest publicznie znany.

W routerze Totolink A8000RU wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w interfejsie zarządzania siecią. Problem występuje w funkcji setMacFilterRules pliku /cgi-bin/cstecgi.cgi, gdzie argument enable jest nieodpowiednio filtrowany. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W interfejsie zarządzania siecią routera Totolink A8000RU stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setWiFiAdvancedCfg w pliku /cgi-bin/cstecgi.cgi, gdzie argument bgProtection jest nieprawidłowo przetwarzany. Atak może być wykonany zdalnie, a exploit jest publicznie znany.

Podatność w MLflow w wersjach do 3.10.1.dev0 umożliwia nieautoryzowany dostęp do endpointów przesyłania wieloczęściowego (MPU) przy włączonym trybie `--serve-artifacts`. Logika autoryzacji nie wymusza sprawdzania uprawnień na poziomie zasobów dla endpointów `/mlflow-artifacts/mpu/*`, co pozwala atakującym nadpisywać artefakty innych użytkowników. Może to prowadzić do nieautoryzowanego zapisu między użytkownikami, zatrucia łańcucha dostaw modeli oraz zdalnego wykonania kodu po załadowaniu skompromitowanych modeli.

W routerze Totolink A8000RU wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w interfejsie zarządzania siecią. Problem występuje w funkcji setStaticDhcpRules pliku /cgi-bin/cstecgi.cgi, gdzie argument enable jest nieodpowiednio filtrowany. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W interfejsie zarządzania siecią routera Totolink A8000RU stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setFirewallType w pliku /cgi-bin/cstecgi.cgi, gdzie argument firewallType jest nieprawidłowo przetwarzany. Atak może być wykonany zdalnie, a exploit jest publicznie znany.

W routerze Totolink A8000RU wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w interfejsie zarządzania siecią. Problem występuje w funkcji setRemoteCfg pliku /cgi-bin/cstecgi.cgi, gdzie argument enable jest nieodpowiednio filtrowany. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W interfejsie zarządzania siecią routera Totolink A8000RU stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setGameSpeedCfg w pliku /cgi-bin/cstecgi.cgi, gdzie argument enable jest nieprawidłowo przetwarzany. Atak może być wykonany zdalnie, a exploit jest publicznie znany.

W routerze Totolink A8000RU wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w interfejsie zarządzania siecią. Problem występuje w funkcji setDdnsCfg pliku /cgi-bin/cstecgi.cgi, gdzie argument provider jest nieodpowiednio filtrowany. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 umożliwia zdalnemu atakującemu wstrzyknięcie poleceń systemowych poprzez argument mode w funkcji setScheduleCfg w interfejsie zarządzania.

W interfejsie zarządzania siecią routera Totolink A8000RU stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setUpgradeFW w pliku /cgi-bin/cstecgi.cgi, gdzie argument resetFlags jest nieprawidłowo przetwarzany. Atak może być wykonany zdalnie, a exploit jest publicznie znany.

W interfejsie zarządzania siecią routera Totolink A8000RU w wersji 7.1cu.643_b20200521 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego. Funkcja setLanguageCfg w pliku /cgi-bin/cstecgi.cgi nieprawidłowo przetwarza argument lang, co umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń.

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 odkryto podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setTracerouteCfg pliku /cgi-bin/cstecgi.cgi. Argument command jest nieprawidłowo walidowany, co pozwala zdalnemu atakującemu na wykonanie dowolnych poleceń.

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 stwierdzono podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji setDiagnosisCfg pliku /cgi-bin/cstecgi.cgi. Argument ip jest nieprawidłowo filtrowany, co umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń.

Dolibarr ERP CRM w wersji 7.0.3 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu PHP przez parametr db_name. Atakujący może wysłać żądanie POST do install/step1.php z złośliwym kodem PHP w parametrze db_name, a następnie wykonać polecenia przez endpoint check.php z parametrem cmd GET.

userSpice 4.3.24 zawiera podatność umożliwiającą enumerację nazw użytkowników. Nieuwierzytelniony atakujący może wysyłać żądania POST do existingUsernameCheck.php i analizować odpowiedź w celu znalezienia istniejących kont.

Podatność w Azure Resource Manager (ARM) polegająca na nieprawidłowym uwierzytelnianiu, umożliwiająca nieautoryzowanemu atakującemu podniesienie uprawnień przez sieć.