Katalog podatności CVE

Podatność typu Path Traversal w wtyczce Outlookproxy agenta Fortinet FortiDLP dla systemu macOS umożliwia uwierzytelnionemu atakującemu eskalację uprawnień do poziomu root poprzez wysłanie spreparowanego żądania do lokalnego portu nasłuchującego.

Podatność polegająca na niewłaściwym ograniczeniu ścieżki do katalogu (Path Traversal) w wtyczce Outlookproxy agenta Fortinet FortiDLP dla Windows w wersjach 11.5.1, 11.4.2-11.4.6, 11.3.2-11.3.4, 11.2.0-11.2.3, 11.1.1-11.1.2, 11.0.1, 10.5.1, 10.4.0 i 10.3.1. Może ona pozwolić uwierzytelnionemu atakującemu na eskalację uprawnień do poziomu LocalService poprzez wysłanie spreparowanego żądania na lokalny port nasłuchujący.

Podatność ujawnienia prywatnych danych osobowych (naruszenie prywatności) w wtyczce Outlookproxy agenta Fortinet FortiDLP dla systemów MacOS i Windows w wersjach 11.5.1, 11.4.2-11.4.6, 11.3.2-11.3.4, 11.2.0-11.2.3, 11.1.1-11.1.2, 11.0.1, 10.5.1, 10.4.0 i 10.3.1. Uwierzytelniony administrator może zebrać informacje o bieżącym adresie e-mail użytkownika.

W Fortinet FortiDLP w wersjach 12.0.0 do 12.0.5, 11.5.1, 11.4.6, 11.4.5 występuje wstawienie poufnych informacji do pliku dziennika, co pozwala atakującemu na ujawnienie informacji poprzez ponowne użycie kodu rejestracji.

Wykryto lukę bezpieczeństwa w GNU Binutils 2.45, dotyczącą funkcji tg_tag_type w pliku prdbg.c. Manipulacja tą funkcją prowadzi do braku kontroli wartości zwracanej, co może być wykorzystane w atakach lokalnych.

W wielu produktach WSO2 występuje nieprawidłowa kontrola dostępu wynikająca z niewystarczającego egzekwowania uprawnień w niektórych wewnętrznych usługach SOAP Admin Services i System REST API. Użytkownik o niskich uprawnieniach może wykonać nieautoryzowane operacje, w tym uzyskać dostęp do informacji na poziomie serwera.

W Qt Network dla Windows (Schannel) występuje niekompletne czyszczenie zasobów, co z czasem może prowadzić do odmowy usługi (DoS). Problem dotyczy Qt od wersji 5.15.0 do 6.8.3 oraz od 6.9.0 przed 6.9.2.

desknet's NEO w wersjach od V4.0R1.0 do V9.0R2.0 zawiera wbudowany na stałe klucz kryptograficzny, co pozwala atakującemu na tworzenie złośliwych aplikacji AppSuite.

W desknet's NEO V4.0R1.0 do V9.0R2.0 występuje podatność typu Improper Protection of Alternate Path (CWE-424) w AppSuite, która pozwala atakującemu tworzyć złośliwe aplikacje AppSuite.

W desknet's NEO V2.0R1.0 do V9.0R2.0 występuje podatność na Stored Cross-Site Scripting (XSS), która pozwala na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika.

W desknet's NEO V9.0R2.0 i wcześniejszych występuje podatność na Stored Cross-Site Scripting (XSS), która pozwala na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika.

Podatność typu stored XSS w desknet's NEO w wersji V9.0R2.0 i wcześniejszych pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika. Złośliwy skrypt jest trwale zapisywany i uruchamiany przy przeglądaniu zainfekowanej strony.

Podatność typu stored XSS w desknet's NEO w wersjach od V4.0R1.0 do V9.0R2.0 pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika. Złośliwy skrypt jest trwale zapisywany i uruchamiany przy przeglądaniu zainfekowanej strony.

W Apache Traffic Control wykryto podatność nieefektywnej złożoności wyrażeń regularnych (ReDoS). Osoby mające dostęp do interfejsu zarządzania komponentem Traffic Router mogą podać złośliwe wzorce i spowodować niedostępność usługi. Projekt został wycofany i nie planuje się wydania poprawki.

ChatLuck zawiera podatność cross-site scripting (XSS) w funkcji rejestracji gościa. W wyniku wykorzystania może zostać wykonany dowolny skrypt w przeglądarce użytkownika korzystającego z produktu.

Podatność na deserializację niezaufanych danych w Apache ActiveMQ NMS AMQP Client (wszystkie wersje do 2.3.0 włącznie) podczas nawiązywania połączeń z niezaufanymi serwerami AMQP. Złośliwe serwery mogą wykorzystać nieograniczoną logikę deserializacji do wykonania dowolnego kodu po stronie klienta. Mechanizm ochronny z wersji 2.1.0 może być ominięty.

ChatLuck zawiera podatność polegającą na niewystarczającej szczegółowości kontroli dostępu w funkcji zapraszania użytkowników gości. W wyniku wykorzystania niezaproszony użytkownik gość może samodzielnie zarejestrować się jako gość.

ChatLuck zawiera podatność na cross-site scripting w czatach. Jeśli zostanie wykorzystana, dowolny skrypt może zostać wykonany w przeglądarce użytkownika korzystającego z produktu.

HCL BigFix Mobile w wersji 3.3 i wcześniejszych ma nieprawidłowe dyrektywy w Polityce Bezpieczeństwa Treści (CSP). Atakujący może nakłonić użytkowników do wykonania działań, nie ograniczając odpowiednio źródeł skryptów i innych treści.

HCL BigFix Modern Client Management (MCM) w wersji 3.3 i wcześniejszych ma nieprawidłowe dyrektywy w Polityce Bezpieczeństwa Treści (CSP). Atakujący może nakłonić użytkowników do wykonania działań, nie ograniczając odpowiednio źródeł skryptów i innych treści.