Katalog podatności CVE

Wtyczka Piraeus Bank WooCommerce Payment Gateway dla WordPressa jest podatna na czasowe ślepe wstrzykiwanie SQL poprzez parametr 'MerchantReference' we wszystkich wersjach do 1.6.5.1 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Schemat eID w niemieckiej karcie tożsamości narodowej do 15 lutego 2024 roku umożliwia obejście uwierzytelniania poprzez fałszowanie. Atakujący typu man-in-the-middle może przyjąć tożsamość ofiary, uzyskując dostęp do zasobów rządowych, medycznych i finansowych oraz wyciągając dane osobowe z karty.

Podatność w OpenText ALM Octane w wersji 16.2.100 i nowszych wynika z nieprawidłowej neutralizacji danych wejściowych. Może ona umożliwić zdalne wykonanie kodu.

W systemie płatności online POSTAHSİL występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu przed 14.02.2024.

Podatność związana z użyciem twardo zakodowanych poświadczeń w aplikacji mobilnej SoliPay firmy Utarit Information Technologies umożliwia odczyt wrażliwych ciągów w pliku wykonywalnym. Problem dotyczy wersji aplikacji przed 5.0.8.

Podatność CVE-2023-5155 dotyczy aplikacji mobilnej SoliPay, która przed wersją 5.0.8 jest narażona na atak typu SQL Injection. Umożliwia to atakującym wstrzykiwanie złośliwych poleceń SQL do aplikacji.

Podatność w aplikacji mobilnej SoliPay firmy Utarit Information Technologies polega na niewłaściwym użyciu uprzywilejowanych interfejsów API, co pozwala na zbieranie danych dostarczanych przez użytkowników.

W Unbound znaleziono podatność związaną z nieprawidłowymi domyślnymi uprawnieniami, umożliwiającą każdemu procesowi spoza grupy unbound modyfikację konfiguracji środowiska uruchomieniowego Unbound. Jeśli proces może połączyć się przez localhost na port 8953, może zmienić konfigurację usługi unbound.service. Ta wada pozwala nieuprzywilejowanemu atakującemu manipulować działającą instancją, potencjalnie zmieniając forwardery, umożliwiając śledzenie wszystkich zapytań przekazywanych przez lokalny resolver, a w niektórych przypadkach zakłócając rozwiązywanie nazw.

W systemie informacyjnym uniwersytetu UNI-PA występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu przed 12.12.2023.

W funkcji dekompresji w registry-support znaleziono lukę. Problem ten może być wywołany, gdy nieautoryzowany zdalny atakujący nakłoni użytkownika do przetworzenia pliku devfile, który używa słów kluczowych `parent` lub `plugin`.

Nieprawidłowa kontrola dostępu w trybie zarządzania systemem (SMM) może umożliwić atakującemu dostęp do pamięci flash SPI, co potencjalnie prowadzi do wykonania dowolnego kodu.

Wada w funkcji AMD SPI protection pozwala użytkownikowi z uprawnieniami Ring0 (tryb jądra) na obejście zabezpieczeń, co może prowadzić do utraty integralności i dostępności systemu.

Podatność w Microsoft WDAC OLE DB provider dla SQL Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do uruchomienia złośliwego kodu na serwerze.

Podatność w usłudze drukowania systemu Windows umożliwia fałszowanie (spoofing). Atakujący może wykorzystać tę lukę, aby podszyć się pod zaufane źródło lub sfałszować dane.

Podatność dotycząca podniesienia uprawnień w Microsoft Message Queuing (MSMQ).