Katalog podatności CVE

Podatność związana z nieprawidłowymi domyślnymi uprawnieniami w Centreon Infra Monitoring (moduły MBI) pozwala na osadzanie skryptów w skryptach przez konto użytkownika CentreonBI na serwerze MBI. Problem ten dotyczy wersji Infra Monitoring: od 24.10.0 do przed 24.10.6, od 24.04.0 do przed 24.04.9, od 23.10.0 do przed 23.10.15.

Podatność typu Denial of Service (DoS) w produkcie ZTE MC889A Pro. Z powodu niewystarczającej walidacji parametrów wejściowych interfejsu usługi krótkich wiadomości (SMS), atakujący może wykorzystać tę lukę do przeprowadzenia ataku DoS.

W systemie CodeAstro Gym Management System 1.0 wykryto podatność SQL injection w pliku /admin/actions/remove-announcement.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany.

W TOTOLINK A3300R w funkcji setSyslogCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem enable. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W TOTOLINK A3300R w funkcji setScheduleCfg pliku /cgi-bin/cstecgi.cgi stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem recHour. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W TOTOLINK A3300R w funkcji setOpModeCfg pliku /cgi-bin/cstecgi.cg stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowane manipulacją argumentem opmode. Atak może być przeprowadzony zdalnie.

W systemie SourceCodester Online Student Result System w wersji 1.0 wykryto podatność bezpieczeństwa. Problem dotyczy nieznanego przetwarzania pliku /view_result.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.

W systemie Online Event Judging System 1.0 firmy code-projects występuje podatność na wstrzyknięcie SQL w pliku /edit_contestant.php poprzez manipulację argumentem contestant_id. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W produkcie ZTE ZXMP M721 występuje podatność na ujawnienie klucza prywatnego. Użytkownik o niskich uprawnieniach może obejść kontrole autoryzacji, aby zobaczyć klucz prywatny komunikacji urządzenia, co prowadzi do jego ujawnienia i wpływa na bezpieczeństwo komunikacji.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_contestant.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /add_judge.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W systemie operacyjnym AMTT Hotel Broadband w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcjonalności pliku /user/portal/get_expiredtime.php. Manipulacja argumentem uid prowadzi do wstrzyknięcia SQL, co może być zrealizowane zdalnie.

W systemie Online Event Judging System 1.0 firmy code-projects wykryto podatność SQL injection w pliku /ajax/action.php. Manipulacja argumentem content prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Na urządzeniach z Wear OS, gdy Google Messages jest domyślną aplikacją SMS/MMS/RCS, obsługa intencji ACTION_SENDTO z schematami URI sms:, smsto:, mms:, mmsto: jest nieprawidłowo zaimplementowana. Atakujący mogący wywołać intencję Androida może wysyłać wiadomości w imieniu użytkownika bez interakcji i uprawnień.

W Axosoft Scrum and Bug Tracking 22.1.1.11545 wykryto podatność. Dotyczy nieznanej funkcji komponentu Edit Ticket Page. Manipulacja argumentem Title prowadzi do wstrzyknięcia CSV. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być użyty. Dostawca został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Wykryto podatność bezpieczeństwa w CLTPHP 3.0, która dotyczy nieznanej funkcji w pliku /home/search.html. Manipulacja argumentem 'keyword' prowadzi do wstrzykiwania SQL.

Zidentyfikowano słabość w Hasleo Backup Suite do wersji 5.2, dotyczącą nieznanej funkcji komponentu HasleoImageMountService/HasleoBackupSuiteService. Manipulacja ta prowadzi do niecytowanej ścieżki wyszukiwania.

W systemie Simple E-Banking System 1.0 wykryto podatność typu cross-site scripting (XSS) w pliku /eBank/register.php. Manipulacja argumentem Username pozwala na wstrzyknięcie złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Podatność typu stored XSS w LMT Dashboard platformy Perx Customer Engagement & Loyalty Platform wynika z niewłaściwej sanityzacji przesyłanych plików SVG. Uwierzytelniony atakujący może przesłać złośliwy plik SVG zawierający skrypt do kampanii, który wykona się w przeglądarce innego użytkownika przeglądającego obraz na publicznym mikrosite LMT. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych nieautoryzowanych działań. Podatność dotyczy wersji przed 4.617.4.

W systemie code-projects Client Details System 1.0 znaleziono podatność w pliku clientdetails/welcome.php, w komponencie GET Parameter Handler. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.