Katalog podatności CVE

W PHPJabbers Callback Widget w wersji 1.0 występuje problem z enumeracją użytkowników podczas procesu odzyskiwania hasła. Różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy dany użytkownik jest ważny, co otwiera drogę do ataku brute force na ważnych użytkowników.

W wersji 1.0 widgetu Callback PHPJabbers występuje podatność typu Cross Site Scripting (XSS) w parametrze 'theme' pliku preview.php.

W skrypcie PHPJabbers Car Rental w wersji 3.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.

W skrypcie PHPJabbers Ticket Support w wersji 3.2 występuje podatność typu Cross Site Scripting (XSS) w parametrze message pliku index.php.

Występuje podatność typu Cross Site Scripting (XSS) w parametrze 'action' pliku index.php w PHPJabbers Make an Offer Widget w wersji 1.0.

Skrypt PHPJabbers Fundraising w wersji 1.0 jest podatny na atak typu Cross Site Scripting (XSS) poprzez parametr 'action' w pliku index.php.

W skrypcie PHPJabbers Yacht Listing Script w wersji 1.0 występuje podatność typu Cross Site Scripting (XSS) w parametrze 'action' pliku index.php.

Skrypt PHPJabbers Food Delivery w wersji 3.0 jest podatny na atak typu SQL Injection w parametrze 'column' pliku index.php.

Skrypt dostawy jedzenia PHPJabbers w wersji 3.0 zawiera podatność na wstrzyknięcie SQL (SQLi) w parametrze 'q' pliku index.php.

W procesorach mobilnych i noszalnych Samsung Exynos 9810, 9610, 9820, 980, 850, 1080, 2100, 2200, 1280, 1380, 1330, 9110 oraz W920 odkryto problem związany z niewłaściwym przetwarzaniem niezgodności parametru długości PPP, co może prowadzić do nieskończonej pętli.

Sliver w wersjach od 1.5.x do 1.5.39 ma niewłaściwą implementację kryptograficzną, co umożliwia atakującym przeprowadzenie ataku typu man-in-the-middle poprzez przechwycone i spreparowane odpowiedzi.

W podatności CVE-2023-40195 występuje deserializacja niezaufanych danych w Apache Airflow Spark Provider, co pozwala autoryzowanym użytkownikom na uruchamianie dowolnego kodu na węźle Airflow poprzez wskazanie złośliwego serwera Spark.

Urządzenia do rejestracji obecności Saho, ADM100 i ADM-100FP, mają lukę polegającą na braku uwierzytelnienia dla krytycznych funkcji. Nieautoryzowany zdalny atakujący może wykonywać polecenia systemowe w częściowych adresach URL strony, aby odczytać wrażliwe informacje o urządzeniu bez odpowiednich uprawnień.

Urządzenia do rejestracji obecności Saho, ADM100 i ADM-100FP, mają niewystarczające filtrowanie dla znaków specjalnych oraz typów plików w funkcji przesyłania plików. Umożliwia to nieautoryzowanemu zdalnemu atakującemu przesyłanie i wykonywanie dowolnych plików, co może prowadzić do wykonania dowolnych poleceń systemowych lub zakłócenia działania usługi.

Urządzenia do rejestracji obecności Saho, ADM100 i ADM-100FP, mają niewystarczającą autoryzację. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność, aby obejść autoryzację i uzyskać dostęp do informacji systemowych oraz danych użytkowników.

SpotCam Sense posiada ukrytą funkcję Telnet, która jest podatna na wstrzykiwanie poleceń systemowych. Zdalny, nieautoryzowany atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych lub zakłócenia działania usługi.

SpotCam FHD 2 firmy SpotCam Co., Ltd. ma podatność związaną z używaniem twardo zakodowanych poświadczeń uBoot. Zdalny atakujący może wykorzystać tę podatność do uzyskania dostępu do systemu w celu wykonywania dowolnych operacji systemowych lub zakłócenia usługi.

Urządzenie SpotCam FHD 2 firmy SpotCam Co., Ltd. posiada ukrytą funkcję Telnet, która jest podatna na wstrzykiwanie poleceń systemowych. Zdalny, nieautoryzowany atakujący może wykorzystać tę podatność do wykonania ataku wstrzykiwania poleceń lub zakłócenia działania usługi.

Urządzenie SpotCam FHD 2 firmy SpotCam Co., Ltd. posiada ukrytą funkcję Telnet, która zawiera podatność na użycie twardo zakodowanych poświadczeń Telnet. Zdalny, nieautoryzowany atakujący może wykorzystać tę podatność do uzyskania dostępu do systemu i wykonywania dowolnych operacji systemowych lub zakłócania usług.

W repozytorium GitHub omeka/omeka-s przed wersją 4.0.4 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.