Katalog podatności CVE

CUPS w wersjach od 2.0.0 do 2.4.6 zawiera błąd use-after-free, który powoduje logowanie danych o wolnej pamięci po zamknięciu połączenia, zamiast przed jego zamknięciem. Problem ten wpływa na cały proces cupsd.

Terraform Enterprise od wersji v202207-1 nieprawidłowo wdrożył zasady autoryzacji dla pul agentów, co pozwalało na atak ze strony nieautoryzowanych agentów. Ta luka w autoryzacji może umożliwić dostęp do zasobów z innego, wyżej uprzywilejowanego workspace'u w tej samej organizacji.

Zidentyfikowano ograniczone ryzyko wstrzyknięcia SQL na stronie kontroli dostępu Mnet SSO. Wada ta dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8, 3.11 do 3.11.14, 3.9 do 3.9.21 oraz wcześniejszych, nieobsługiwanych wersji.

Na stronie grup w Moodle występuje luka, która wymaga dodatkowego oczyszczania treści, aby zapobiec ryzyku XSS. Problem ten dotyczy wersji Moodle 4.2, 4.1 do 4.1.3, 4.0 do 4.0.8 oraz 3.11 do 3.11.14.

W systemie WAFU Keyless Smart Lock w wersji 1.0 odkryto problem, który pozwala atakującym na odblokowanie urządzenia za pomocą ataku polegającego na powtórzeniu kodu.

W wersjach 1.1 oraz do commita 8a1d882b4c481a05e296e9b38a7961e912146a0f dashboardu dmarcts-report-viewer występuje podatność typu cross site scripting (XSS). Umożliwia ona nieautoryzowanym atakującym wykonanie dowolnego kodu za pomocą wartości org_name lub domain.

W EyouCMS w wersji 1.6.3 występuje podatność typu cross site scripting (XSS) w numerze zgłoszenia na stronie zarządzania w zakładce Podstawowe informacje.

Wtyczka WP Overnight Quick/Bulk Order Form dla WooCommerce w wersjach do 3.5.7 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z uprawnieniami administratora.

Wtyczka realmag777 WOLF – WordPress Posts Bulk Editor and Manager Professional w wersjach do 1.0.7 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

W wersji 1.331.0 i wcześniejszych Casdoor zidentyfikowano podatność typu Cross-Site Request Forgery (CSRF) w punkcie końcowym /api/set-password. Umożliwia ona atakującym dowolną zmianę hasła ofiary poprzez dostarczenie spreparowanego adresu URL.

Wtyczka Kanban Boards dla WordPressa w wersjach do 2.5.20 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników administracyjnych.

Wtyczka Marco Milesi Telegram Bot & Channel w wersjach do 3.6.2 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście przeglądarki użytkowników.

Wtyczka ARMember w wersjach do 4.0.2 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników z uprawnieniami administratora.

Wtyczka WooCommerce PayPal Payments w wersjach do 2.0.4 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka MasterStudy LMS dla WordPressa w wersjach do 3.0.8 zawiera lukę w kontroli dostępu, która pozwala zalogowanym użytkownikom, takim jak subskrybenci, na przeglądanie zamówień oraz uzyskiwanie danych związanych z zamówieniem, takich jak adres e-mail czy nazwa użytkownika.

Sage X3 w wersji 12.14.0.50-0 zawiera podatność na ataki XSS. Aplikacja dynamicznie buduje fragmenty stron na podstawie danych wejściowych użytkownika, ale nie weryfikuje ani nie filtruje tych danych, co pozwala na wstrzyknięcie złośliwego kodu HTML/JavaScript. Kod ten jest zapisywany i wykonywany w przeglądarce ofiary.

Wtyczka MasterStudy LMS dla WordPressa w wersjach do 3.0.7 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyższych.

W systemie zarządzania osobami DATEV eG w wersjach od 15.1.0 do 16.1.1 P4 występuje podatność na refleksyjny atak XSS, która umożliwia atakującym kradzież danych logowania użytkowników poprzez wysyłanie spreparowanych linków.

IBM SPSS Modeler na systemie Windows w wersjach 17.0, 18.0, 18.2.2, 18.3, 18.4 i 18.5 wymaga, aby użytkownik końcowy miał dostęp do klucza SSL serwera, co może pozwolić lokalnemu użytkownikowi na odszyfrowanie i uzyskanie wrażliwych informacji.

Blogengine.net w wersji 3.3.8.0 i wcześniejszych jest podatny na atak Open Redirect, co może umożliwić przekierowanie użytkowników do złośliwych stron.