Katalog podatności CVE

Wtyczka Slideshow Gallery LITE dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr id we wszystkich wersjach do 1.8.1 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej dodawanie dodatkowych zapytań SQL do już istniejących.

Wersja 9.5 biblioteki parisneo/lollms jest podatna na ataki Local File Inclusion (LFI) z powodu niewystarczającej sanitizacji ścieżek. Funkcja `sanitize_path_from_endpoint` nieprawidłowo sanitizuje ścieżki w stylu Windows, co umożliwia atakującym przeprowadzanie ataków typu directory traversal na systemach Windows.

W produkcie dogtag-pki i pki-core wykryto podatność polegającą na możliwości ominięcia uwierzytelniania tokenem poprzez wstrzyknięcie LDAP. Atakujący może użyć parametru sessionID=* w zapytaniu, aby uwierzytelnić się przy użyciu istniejącej sesji zapisanej w katalogu LDAP, co może prowadzić do eskalacji uprawnień.

Usługa scalania dokumentów to usługa do zarządzania szablonami dokumentów, która udostępnia interfejs API do ich obsługi i scalania z danymi. Wersje 6.5.1 i wcześniejsze są podatne na zdalne wykonanie kodu poprzez wstrzyknięcie szablonu po stronie serwera, co może prowadzić do pełnego przejęcia systemu, jeśli zostanie wykonane z uprawnieniami roota.

W bibliotece libiec61850 w wersji 1.5 odkryto przepełnienie sterty w funkcji BerEncoder_encodeLength w pliku /asn1/ber_encoder.c. Podatność może pozwolić atakującemu na zdalne wykonanie kodu lub spowodowanie awarii systemu.

Nieprawidłowa walidacja głębokich linków w aplikacji McAfee Security: Antivirus VPN dla systemu Android przed wersją 8.3.0 może umożliwić atakującemu uruchomienie dowolnego adresu URL w aplikacji.

W OpenText ArcSight Logger zidentyfikowano podatności typu Stored Cross-Site Scripting (XSS), które mogą być zdalnie wykorzystywane przez atakujących.

Podatność w usłudze Azure Science Virtual Machine (DSVM) umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Podatność w usłudze Windows Perception Service umożliwia podniesienie uprawnień. Luka ta może zostać wykorzystana przez lokalnego atakującego do uzyskania wyższych uprawnień w systemie.

Podatność ujawniania informacji w Microsoft Dynamics 365 (wersja lokalna) umożliwia nieautoryzowanym użytkownikom dostęp do poufnych danych. Luka wynika z nieprawidłowego zarządzania uprawnieniami dostępu do zasobów systemu.

Podatność w Azure Identity Libraries oraz Microsoft Authentication Library umożliwia podniesienie uprawnień. Błąd występuje w procesie uwierzytelniania i może pozwolić na nieautoryzowany dostęp do zasobów.

Podatność w agencie Azure Monitor umożliwia podniesienie uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Podatność w Microsoft Azure File Sync umożliwia podniesienie uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Biblioteka kliencka Azure Storage Movement zawiera podatność na atak typu Denial of Service (DoS). Może ona umożliwić zdalnemu atakującemu przeciążenie usługi poprzez wysłanie specjalnie spreparowanych żądań.

Podatność zdalnego wykonania kodu w Microsoft Dynamics 365 Business Central umożliwia atakującemu wykonanie dowolnego kodu w kontekście aplikacji. Wymaga uwierzytelnienia i interakcji użytkownika.

Podatność w Microsoft Dynamics 365 Business Central umożliwia podniesienie uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do zasobów systemowych.

Podatność umożliwia zdalne wykonanie kodu w pakiecie Microsoft Office. Atakujący może wykorzystać specjalnie spreparowany plik, aby przejąć kontrolę nad systemem ofiary.

Podatność zdalnego wykonania kodu w Microsoft Outlook umożliwia atakującemu uruchomienie dowolnego kodu w kontekście ofiary poprzez wysłanie specjalnie spreparowanej wiadomości e-mail. Luka ta może być wykorzystana bez interakcji użytkownika poza otwarciem wiadomości.

Podatność zdalnego wykonania kodu w Microsoft Office umożliwia atakującemu uruchomienie dowolnego kodu w kontekście zalogowanego użytkownika. Wykorzystanie wymaga otwarcia specjalnie spreparowanego pliku przez ofiarę.