Katalog podatności CVE

W systemie zarządzania hostelami w wersji 2.1 występuje podatność typu Cross-Site Scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w sekcji dodawania kursu.

Wtyczka WP Zone Potent Donations dla WooCommerce w wersjach do 1.1.9 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

W podatności CVE-2023-35887 w Apache MINA występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Użytkownicy zalogowani na serwerach SFTP mogą uzyskać informacje o istnieniu lub braku elementów poza zrootowanym drzewem, wykorzystując nawigację do rodzica lub symlinki.

Podatność CVE-2023-35699 dotyczy przechowywania danych w postaci niezaszyfrowanej na dysku w urządzeniu SICK ICR890-4. Umożliwia to nieautoryzowanemu atakującemu z lokalnym dostępem do urządzenia ujawnienie wrażliwych informacji poprzez dostęp do karty SD.

W SICK ICR890-4 występuje niezgodność w odpowiedziach, która może umożliwić zdalnemu atakującemu identyfikację prawidłowych nazw użytkowników serwera FTP na podstawie odpowiedzi uzyskanej podczas nieudanej próby logowania.

Nieprawidłowe ograniczenie nadmiernych prób uwierzytelnienia w urządzeniu SICK ICR890-4 może umożliwić zdalnemu atakującemu przeprowadzenie ataku typu brute-force na dane logowania użytkowników.

Komponent SmartBPM.NET ma podatność na przejście ścieżki w funkcji pobierania plików. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do dowolnych plików systemowych.

W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.10 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych.

Projekt Systemu Egzaminów Online w wersji 1.0 jest podatny na ataki Cross-Site Request Forgery (CSRF). Atakujący może stworzyć złośliwy link, który po kliknięciu przez użytkownika z uprawnieniami administratora usunie konto użytkownika z bazy danych bez jego zgody.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w sekcji zarządzania klasami/grupami użytkowników.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w kole umiejętności.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w sekcji zarządzania kategoriami sesji.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w sekcji zarządzania dodatkowymi polami.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w sekcji zarządzania karierą i promocjami.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w definicji kategorii kursów.

Chamilo w wersjach 1.11.x do 1.11.20 pozwala użytkownikom z uprawnieniami administratora na wprowadzenie ataku XSS w sekcji zarządzania językami.

Zoho ManageEngine ADAudit Plus w wersjach przed 7100 umożliwia atak XSS poprzez pole nazwy użytkownika.

W module wydania w Zoho ManageEngine ServiceDesk Plus przed wersją 14202, ServiceDesk Plus MSP przed wersją 14300 oraz SupportCenter Plus przed wersją 14300 występuje podatność na eskalację uprawnień, która pozwala użytkownikom bez odpowiednich uprawnień na dostęp do przypomnień związanych z biletami wydania oraz na ich modyfikację.

Wykryto krytyczną podatność w aplikacji SourceCodester Shopping Website 1.0, która dotyczy nieznanej funkcji w pliku check_availability.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL.

Podatność w Apache Johnzon związana z deserializacją niezaufanych danych pozwala atakującemu na wprowadzenie dużych liczb w formacie JSON, co może prowadzić do powolnej konwersji i ryzyka odmowy usługi.