Katalog podatności CVE

Wersje Wireshark od 4.0.0 do 4.0.7 oraz 3.6.0 do 3.6.15 zawierają podatność w analizatorze BT SDP, która może prowadzić do nieskończonej pętli. Atakujący może wykorzystać tę lukę poprzez wstrzyknięcie pakietów lub przygotowanie złośliwego pliku zrzutu.

Zidentyfikowano podatność w oprogramowaniu układowym serii ioLogik 4000 (ioLogik E4200) w wersjach v1.6 i wcześniejszych, która może umożliwić zbieranie informacji na temat urządzeń serii ioLogik 4000. Ta podatność może pozwolić atakującym na gromadzenie informacji w celu oceny luk i potencjalnych wektorów ataku.

Zidentyfikowano podatność w oprogramowaniu układowym serii ioLogik 4000 (ioLogik E4200) w wersjach v1.6 i wcześniejszych, która może narażać użytkowników na ryzyko bezpieczeństwa. Ta podatność może umożliwić atakującym oszukiwanie użytkowników w celu interakcji z złośliwą treścią, co prowadzi do niezamierzonych działań lub nieautoryzowanego ujawnienia danych.

Zidentyfikowano podatność w oprogramowaniu układowym serii ioLogik 4000 (ioLogik E4200) w wersjach v1.6 i wcześniejszych, gdzie atrybut ciasteczek sesyjnych nie jest prawidłowo ustawiony. Ta podatność może prowadzić do ryzyk bezpieczeństwa, potencjalnie narażając dane sesji użytkownika na nieautoryzowany dostęp i manipulację.

Podatność w CP-Plus DVR wynika z niewłaściwej walidacji danych wejściowych w interfejsie zarządzania opartym na sieci web. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność, wysyłając specjalnie skonstruowane żądania HTTP do podatnego urządzenia.

Zidentyfikowano podatność w oprogramowaniu układowym serii ioLogik 4000 (ioLogik E4200) w wersjach v1.6 i wcześniejszych, która może być wykorzystana przez złośliwych aktorów do uzyskania nieautoryzowanego dostępu do produktu. Obecność nieautoryzowanej usługi może umożliwić nieautoryzowany dostęp do urządzenia.

XWiki Platform posiada podatność, która pozwala na zdalne wykonanie kodu przez atakującego z prawami edycji na wiki. Wykorzystuje ona lukę w harmonogramie zadań oraz problem z autoryzacją autora treści skryptu. Ta podatność została załatana w wersjach XWiki 14.10.9 i 15.4RC1.

Platforma XWiki jest podatna na atak CSRF w akcji tworzenia, co pozwala na wykonanie zdalnego kodu przez użytkowników z odpowiednimi uprawnieniami. W przypadku, gdy użytkownik z prawem do skryptów zobaczy określony komunikat w logach, instalacja XWiki jest zagrożona.

W routerze Juplink RX4-1500, w wersjach od 1.0.2 do 1.0.5, występuje przepełnienie bufora na stosie. Uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania wykonania kodu z uprawnieniami roota.

W wersjach 4.7.0 i wcześniejszych portalu zarządzania siecią ETIC Telecom RAS uwierzytelnianie jest domyślnie wyłączone. Może to umożliwić atakującemu z dostępem do sąsiedniej sieci zmianę konfiguracji urządzenia lub spowodowanie stanu odmowy usługi.

Wersje oprogramowania układowego Walchem Intuition 9 przed wersją 4.21 nie mają uwierzytelnienia dla niektórych tras API serwera zarządzania. Może to umożliwić atakującemu pobranie i eksportowanie wrażliwych danych.

Podatność typu Cross Site Scripting (XSS) w systemie zarządzania studenckim centrum nauki Sourcecodester w wersji 1.0 pozwala atakującym na uruchamianie dowolnego kodu poprzez odpowiednio skonstruowane żądanie GET do adresu URL aplikacji webowej.

Podatność w bibliotece Shescape dla JavaScript może wpłynąć na użytkowników systemu Windows w kontekście wielowątkowym. Może to prowadzić do nieprawidłowego użycia mechanizmu ucieczki (escaping) dla niewłaściwej powłoki, co umożliwia atakującym obejście zabezpieczeń.

Node-SAML to biblioteka SAML, która nie jest zależna od żadnych frameworków i działa w Node. Brak weryfikacji aktualnego znacznika czasu pozwala na wielokrotne użycie LogoutRequest XML, nawet gdy aktualny czas przekracza NotOnOrAfter.

XWiki Platform umożliwia zarejestrowanym użytkownikom wykonywanie dowolnych skryptów w polu treści swojej strony profilu, co prowadzi do eskalacji uprawnień. Problem ten występuje od wersji 4.3M2, kiedy dodano wsparcie dla pola treści w aplikacji AppWithinMinutes.

Craft to system zarządzania treścią (CMS) umożliwiający tworzenie niestandardowych doświadczeń cyfrowych. Ominięcie funkcji validatePath może prowadzić do zdalnego wykonania kodu, co stwarza ryzyko przejęcia kontroli nad podatnymi systemami.

XWiki Platform zawiera podatność na przechowywane XSS, która może być wykorzystana przez zarejestrowanych użytkowników poprzez ustawienie złośliwego ładunku w preferencjach strefy czasowej. Mimo że strefa czasowa jest wybierana z rozwijanej listy, można ją ustawić za pomocą JavaScript lub odpowiedniego URL-a.

Argo CD, narzędzie do ciągłego dostarczania w modelu GitOps dla Kubernetes, ma błąd w wersjach od 2.6.0, który powoduje, że otwarte sesje terminala webowego nie wygasają. Umożliwia to użytkownikom wysyłanie wiadomości websocket, nawet gdy token już wygasł.

W OpenMNS Horizon w wersji 31.0.8 oraz wcześniejszych niż 32.0.2 występuje podatność na ataki XXE w edytorze plików, który jest dostępny dla użytkowników z uprawnieniami ROLE_FILESYSTEM_EDITOR.