Katalog podatności CVE

Domyślnie dedykowane foldery ZONECENTRAL dla systemu Windows do wersji 2024.3 lub do wersji Q.2021.2 (zgłoszenie kwalifikacyjne ANSSI) mogą być dostępne dla innych użytkowników, co umożliwia nadużycie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ZONECENTRAL, aby zapobiec tej podatności.

Domyślnie dedykowane foldery ORIZON dla systemu Windows do wersji 2024.3 mogą być dostępne dla innych użytkowników, co pozwala na nadużywanie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ORIZON, aby zapobiec tej podatności.

Domyślnie dedykowane foldery ZEDMAIL dla systemu Windows do wersji 2024.3 mogą być dostępne dla innych użytkowników, co umożliwia nadużywanie plików technicznych i wykonywanie zadań z wyższymi uprawnieniami. Należy zmodyfikować konfigurację ZEDMAIL, aby zapobiec tej podatności.

Router Hathway Skyworth CM5100-511 w wersji 4.1.1.24 przechowuje wrażliwe dane o urządzeniach podłączonych przez USB i Wi-Fi w postaci niezaszyfrowanego tekstu. Oznacza to, że każdy, kto uzyska dostęp do pamięci routera, może odczytać te informacje.

Podatność w inspekcji ładunku dla ruchu Ethernet Industrial Protocol (ENIP) w oprogramowaniu Cisco Firepower Threat Defense (FTD) może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na ominięcie skonfigurowanych reguł dla ruchu ENIP. Problem wynika z niekompletnego przetwarzania podczas głębokiej inspekcji pakietów ENIP. Atakujący może wykorzystać tę podatność, wysyłając spreparowany pakiet ENIP do docelowego interfejsu, co może pozwolić na ominięcie polityk dostępu i zapobiegania włamaniom.

W KASO v9.0 odkryto podatność na wstrzykiwanie SQL poprzez parametr person_id w ścieżce /cardcase/editcard.jsp.

System zamawiania jedzenia python_food w wersji 1.0 posiada lukę, która umożliwia nieautoryzowany dostęp do wrażliwych informacji użytkowników. Atakujący mogą uzyskać dostęp do tych danych, modyfikując wartość ID w żądaniu API.

Podatność w preprocesorze Modbus silnika detekcji Snort pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wywołanie odmowy usługi (DoS). Problem wynika z przepełnienia liczby całkowitej podczas przetwarzania ruchu Modbus. Atak polega na wysłaniu spreparowanego ruchu Modbus przez urządzenie.

Podatność w implementacji CLI na urządzeniu działającym na ConfD umożliwia uwierzytelnionemu, lokalnemu atakującemu przeprowadzenie ataku typu injection komend. Problem wynika z niewystarczającej walidacji argumentu procesu na podatnym urządzeniu.

Podatność w Cisco RCM dla oprogramowania Cisco StarOS może umożliwić nieautoryzowanemu, zdalnemu atakującemu wykonanie zdalnego kodu z uprawnieniami roota w kontekście skonfigurowanego kontenera. Problem wynika z nieprawidłowo włączonego trybu debugowania dla określonych usług.

Podatność w lokalnym interfejsie serwera Cisco BroadWorks Network może pozwolić nieautoryzowanemu, zdalnemu atakującemu na wyczerpanie zasobów systemowych, co prowadzi do stanu odmowy usługi (DoS). Problem wynika z braku ograniczenia szybkości dla niektórych przychodzących połączeń TCP.

Podatność typu Origin Validation Error w systemach kontroli obecności pracowników (PACS) oraz systemach zabezpieczeń dostępu (ACSS) firmy Dataprom umożliwia wstrzykiwanie ruchu. Problem ten dotyczy wersji przed rokiem 2024.

Wtyczka Tripetto dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez przesyłanie plików we wszystkich wersjach do 8.0.11 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do pliku.

Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji gentlesource Appointmind umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Appointmind od n/a do 4.0.0 włącznie.

W podatności CVE-2024-51659 występuje atak typu Cross-Site Request Forgery (CSRF) w GeekRMX Twitter @Anywhere Plus, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Twitter @Anywhere Plus od n/a do 2.0 włącznie.

Podatność CSRF w WP Course Manager autorstwa Henrika Hoffa umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji WP Course Manager od n/a do 1.3 włącznie.

Wentylator nie przeprowadza odpowiednich kontroli integralności plików podczas przyjmowania aktualizacji oprogramowania. Umożliwia to atakującemu wymuszenie nieautoryzowanych zmian w ustawieniach konfiguracyjnych urządzenia oraz/lub kompromitację funkcjonalności urządzenia poprzez wgranie złośliwego lub nielegalnego pliku oprogramowania.

Port debugowania na interfejsie szeregowym wentylatora jest domyślnie włączony. Może to umożliwić atakującemu wysyłanie i odbieranie niezaszyfrowanych wiadomości przez ten port, co prowadzi do nieautoryzowanego ujawnienia informacji oraz niezamierzonych wpływów na ustawienia i wydajność urządzenia.