Katalog podatności CVE

Klient Java Aerospike przed wersjami 7.0.0, 6.2.0, 5.2.0 i 4.5.0 deserializuje obiekty Java z odpowiedzi serwera bez odpowiedniej walidacji. Atakujący mogą wykorzystać tę lukę, aby wstrzyknąć złośliwy kod, co może prowadzić do przejęcia kontroli nad maszyną kliencką.

W wersji django-sspanel v2022.2.2 odkryto podatność na zdalne wykonanie poleceń (RCE) w komponencie sspanel/admin_view.py w metodzie GoodsCreateView._post.

W oprogramowaniu PHPJabbers Cleaning Business Software w wersji 1.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.

W systemie PHP Jabbers Class Scheduling System w wersji 1.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.

PHPJabbers Availability Booking Calendar w wersji 5.0 jest podatny na przejęcie konta użytkownika poprzez zmianę nazwy użytkownika lub hasła.

PHP Jabbers Availability Booking Calendar w wersji 5.0 jest podatny na nieprawidłowe zarządzanie dostępem.

PHPJabbers Availability Booking Calendar w wersji 5.0 jest podatny na niewłaściwą kontrolę dostępu z powodu nieprawidłowej walidacji wejścia parametru hasła.

W wersji ai-dev aitable przed v0.2.2 odkryto podatność na wstrzyknięcie SQL w komponencie /includes/ajax.php.

Podatność w ZKTeco BioTime 8.5.5 do 9.0.1 przed łatką z 2024-06-17 pozwala uwierzytelnionym atakującym na tworzenie lub nadpisywanie dowolnych plików na serwerze. Wykorzystuje ona błąd path traversal w polu Username oraz brak sanityzacji danych wejściowych w polu SSH Key w endpointach /base/sftpsetting/.

W wersjach przed 0.1.3 biblioteki ai-dev aioptimizedcombinations odkryto podatność na wstrzyknięcie SQL w komponencie /includes/ajax.php.

W wersji 4.5.5 Dango-Translator zidentyfikowano podatność na zdalne wykonanie poleceń (RCE) poprzez komponent app/config/cloud_config.json.

W podatności CVE-2023-36217 w systemie Xoops CMS w wersji 2.5.10 występuje luka typu Cross Site Scripting, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez pole nazwy kategorii w funkcji zarządzania obrazami.

Wersja 3.4.3 MotoCMS zawiera podatność na atak typu SQL injection, która umożliwia zdalnemu atakującemu uzyskanie uprawnień poprzez parametr słowa kluczowego w funkcji wyszukiwania.

W podatności CVE-2023-3346 w serii CNC MITSUBSHI występuje błąd przepełnienia bufora, który pozwala zdalnemu, nieautoryzowanemu atakującemu na spowodowanie stanu odmowy usługi (DoS) oraz wykonanie dowolnego kodu na urządzeniu poprzez wysłanie specjalnie przygotowanych pakietów. Wymagana jest również reset systemu w celu przywrócenia działania.

Podatność zdalnego wykonania kodu (RCE) w NextGen Mirth Connect w wersji 4.3.0 umożliwia atakującym wykonanie dowolnych poleceń na serwerze hostującym.

W wersji 4.7.4 serwera WS-Inc J WBEM przed 4.7.5, adapter protokołu CIM-XML nie wyłącza rozwiązywania encji. To umożliwia atakującym zależnym od kontekstu odczyt dowolnych plików lub spowodowanie odmowy usługi.

W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych.

Podatność w nadajniku GatesAir Flexiva FM Transmitter/Exiter Fax 150W umożliwia zdalnemu atakującemu uzyskanie dostępu do poświadczeń LDAP i SMTP, co może prowadzić do eskalacji uprawnień.

IDSecure w wersji 4.7.26.0 i wcześniejszych używa zakodowanego klucza kryptograficznego do podpisywania i weryfikacji tokenów sesyjnych JWT, co pozwala atakującym na podpisywanie dowolnych tokenów sesyjnych i ominięcie uwierzytelnienia.

W systemie Control ID IDSecure w wersji 4.7.26.0 i wcześniejszych występuje podatność na przejście ścieżki, która umożliwia atakującym usuwanie dowolnych plików z systemu plików IDSecure, co prowadzi do odmowy usługi.