Katalog podatności CVE

W NMIS/BioDose V22.02 i wcześniejszych wersjach domyślne uprawnienia do katalogów instalacyjnych są niebezpieczne, co w niektórych scenariuszach wdrożenia może umożliwić użytkownikom na stacjach klienckich modyfikację plików wykonywalnych i bibliotek programu.

Instalacje NMIS/BioDose V22.02 i wcześniejsze, korzystające z wbudowanego Microsoft SQL Server Express, są narażone przez udział systemu Windows dostępny dla klientów w instalacjach sieciowych. Domyślnie ten katalog ma niebezpieczne ścieżki, które umożliwiają dostęp do bazy danych SQL i plików konfiguracyjnych, mogących zawierać wrażliwe dane.

NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta z bazy danych Microsoft SQL Server. Domyślne konto użytkownika SQL 'nmdbuser' oraz inne tworzone konta mają przypisaną rolę sysadmin.

NMIS/BioDose w wersji V22.02 i wcześniejszych korzysta ze wspólnego konta użytkownika SQL Server do dostępu do danych w bazie. Dostęp użytkownika w aplikacji klienckiej jest ograniczony przez sprawdzanie hasła w oprogramowaniu klienckim, ale połączenie z bazą danych zawsze ma pełny dostęp. Najnowsza wersja wprowadza opcję uwierzytelniania użytkownika Windows w bazie danych, co ograniczyłoby to połączenie.

Wtyczka DesignThemes LMS dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 1.0.4 włącznie. Problem wynika z funkcji 'dtlms_register_user_front_end', która nie ogranicza ról użytkowników podczas rejestracji.

Rozszerzenie Aimeos GrapesJS CMS umożliwia edytowanie stron do tworzenia treści na podstawie rozszerzalnych komponentów. Przed wersjami 2021.10.8, 2022.10.8, 2023.10.8, 2024.10.8 i 2025.10.8, złośliwi edytorzy mogli wstrzykiwać kod Javascript, co prowadziło do ataku XSS typu stored, jeśli standardowa polityka bezpieczeństwa treści była wyłączona.

Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 Lookyloo przekazywał niepoprawnie escapowane wartości do komórek renderowanych w datatables przy użyciu funkcji orthogonal-data. Jest to zdecydowanie wykorzystywalne z widoku popup, ale najprawdopodobniej również w wielu innych miejscach. Ta podatność została naprawiona w wersji 1.35.3.

Lookyloo to interfejs webowy umożliwiający przechwytywanie stron internetowych i wyświetlanie drzewa domen, które się wzajemnie wywołują. W wersjach przed 1.35.3 podatność XSS może zostać wywołana, gdy użytkownik zgłosi listę adresów URL do przechwycenia, jeden z nich zawiera element HTML, a przechwycenie się nie powiedzie. Pole błędu zostaje wówczas wypełnione komunikatem zawierającym błędny adres URL, co wyzwala XSS. Podatność została naprawiona w wersji 1.35.3.

Lookyloo to interfejs webowy, który umożliwia użytkownikom przechwycenie strony internetowej, a następnie wyświetlenie drzewa domen, które się wzajemnie wywołują. Przed wersją 1.35.3 występuje wiele podatności XSS z powodu niebezpiecznego użycia f-stringów w Markup. Problem wymaga, aby złośliwy serwer zewnętrzny odpowiedział dokumentem JSON zawierającym kod JS w elemencie script. Ta podatność została naprawiona w wersji 1.35.3.

SDK Pythona MCP, znany jako `mcp` na PyPI, przed wersją 1.23.0 nie włączał domyślnie ochrony przed DNS rebinding dla serwerów opartych na HTTP. Gdy serwer MCP działa na localhost bez uwierzytelnienia, z wykorzystaniem FastMCP i transportu HTTP lub SSE, złośliwa strona może wykorzystać DNS rebinding do ominięcia ograniczeń polityki same-origin i wysyłać żądania do lokalnego serwera MCP.

SDK TypeScript dla Model Context Protocol (MCP) przed wersją 1.24.0 nie włącza domyślnie ochrony przed DNS rebinding dla serwerów opartych na HTTP. W przypadku uruchomienia serwera MCP na localhost bez uwierzytelnienia, złośliwa strona może wykorzystać DNS rebinding do ominięcia ograniczeń polityki samego pochodzenia i wysyłać żądania do lokalnego serwera MCP.

ESF-IDF to framework do rozwoju Internetu Rzeczy (IoT) firmy Espressif. W wersjach 5.5.1, 5.4.3, 5.3.4, 5.2.6, 5.1.6 i wcześniejszych, włączenie AVRCP na ESP32 i otrzymanie źle sformułowanego polecenia VENDOR DEPENDENT od urządzenia partnerskiego może spowodować, że stos Bluetooth uzyska dostęp do pamięci przed zweryfikowaniem długości bufora polecenia.

Wada wyścigu w silniku V8 w przeglądarce Google Chrome przed wersją 143.0.7499.41 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML. Poziom zagrożenia wg Chromium: średni.

Podatność typu bad cast w Loader w Google Chrome przed wersją 143.0.7499.41 pozwalała zdalnemu atakującemu, który przejął proces renderera, na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. (Waga bezpieczeństwa Chromium: Średnia)

Nieprawidłowa implementacja w WebRTC w przeglądarce Google Chrome przed wersją 143.0.7499.41 umożliwia zdalnemu atakującemu wykonanie dowolnego odczytu/zapisu za pomocą spreparowanej strony HTML. Problem ma niski poziom zagrożenia wg Chromium.

Podatność typu use after free w Media Stream w Google Chrome przed wersją 143.0.7499.41 pozwalała zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. (Waga bezpieczeństwa Chromium: Niska)

Google Chrome w wersjach przed 143.0.7499.41 zawiera niewłaściwą implementację w funkcji pobierania plików (Downloads). Zdalny atakujący, który przekona użytkownika do wykonania określonych gestów interfejsu, może ominąć zabezpieczenia pobierania za pomocą spreparowanej strony HTML. (Waga: niska)

Nieprawidłowa implementacja w funkcji Split View w przeglądarce Google Chrome przed wersją 143.0.7499.41 umożliwiła zdalnemu atakującemu, który przekonał użytkownika do wykonania określonych gestów interfejsu, przeprowadzenie ataku polegającego na fałszowaniu interfejsu użytkownika za pomocą spreparowanej nazwy domeny. (Waga bezpieczeństwa Chromium: Niska)

Nieodpowiednia implementacja w funkcji pobierania w Google Chrome przed wersją 143.0.7499.41 pozwala lokalnemu atakującemu na fałszowanie interfejsu użytkownika za pomocą spreparowanej strony HTML. Problem ma niski poziom zagrożenia.

W Google Chrome przed wersją 143.0.7499.41 występuje podatność typu use after free w komponencie Digital Credentials. Zdalny atakujący, który przejął kontrolę nad procesem renderowania, może potencjalnie wykorzystać uszkodzenie sterty za pomocą spreparowanej strony HTML.