Katalog podatności CVE

W systemie raportowania pożarów online PHPGurukul w wersji 1.2 występuje podatność typu cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola tytułu strony.

Podatność typu directory traversal w systemie Jinfornet Jreport 15.6 umożliwia nieuwierzytelnionym atakującym dostęp do poufnych informacji poprzez manipulację ścieżkami plików.

W repozytorium GitHub omeka/omeka-s przed wersją 4.0.2 występuje podatność na atak Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.

W repozytorium GitHub omeka/omeka-s przed wersją 4.0.2 występuje podatność typu Server-Side Request Forgery (SSRF). Może to prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych serwera.

W podatności CVE-2023-3980 występuje atak typu Cross-site Scripting (XSS), który jest przechowywany w repozytorium GitHub omeka/omeka-s przed wersją 4.0.2.

Tolgee to otwartoźródłowa platforma lokalizacyjna, która w wersjach od 3.14.0 do 3.23.1 ma lukę, w której backend nie weryfikuje zakresów uprawnień związanych z kluczem API, co pozwala na ominięcie kontroli uprawnień dla niektórych punktów końcowych. Problem ten dotyczy tylko projektów, które przypadkowo ujawniły swoje klucze API w Internecie.

DietPi-Dashboard ma podatność, która pozwala atakującemu zablokować dashboard w stanie oczekiwania na handshake TLS, co uniemożliwia dostęp do niego dla legalnego ruchu. Problem ten występuje w wersji 0.6.1 i został naprawiony w wersji 0.6.2.

Sails to framework MVC w czasie rzeczywistym dla Node.js. W aplikacjach Sails przed wersją 1.5.7, atakujący może wysłać wirtualne żądanie, które spowoduje awarię procesu node.

W wersjach wcześniejszych niż 1.11.5, 1.12.3 i 1.13.0, backend obrazów Crossplane nie weryfikuje zawartości bajtowej pakietów, co pozwala atakującym na manipulację nimi bez wykrycia. Problem został naprawiony w wersjach 1.11.5, 1.12.3 i 1.13.0.

W systemie raportowania pożarów PHPGurukul Online, wersja 1.2, występuje podatność typu cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pól nazwy zespołu, lidera i członka.

W oprogramowaniu IceWarp MailServer Deep Castle 2 Update 1 (13.0.1.2) wykryto podatność na otwarte przekierowanie (Open Redirect) poprzez parametr referer. Atakujący może wykorzystać tę lukę do przekierowania użytkownika na złośliwą stronę.

W systemie zarządzania treścią Kirby wystąpiła podatność związana z brakiem ograniczenia długości hasła w punktach końcowych uwierzytelniania. Atakujący mógł dostarczyć hasło o długości do maksymalnej długości ciała żądania serwera, co mogło prowadzić do obciążenia zasobów CPU i pamięci.

W systemie zarządzania treścią Kirby występuje podatność, która dotyczy wersji przed 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 i 3.9.6. Umożliwia ona atakującym, którzy są uwierzytelnionymi użytkownikami Panelu lub zewnętrznymi odwiedzającymi, przesyłanie plików z nieznanymi rozszerzeniami, co może prowadzić do wykonania złośliwego kodu w przeglądarkach ofiar. Problem został naprawiony w nowszych wersjach Kirby.

W wersjach przed 1.11.5, 1.12.3 i 1.13.0 Crossplane umożliwia użytkownikom o wysokich uprawnieniach tworzenie pakietów, które mogą odnosić się do dowolnie dużych obrazów. Może to prowadzić do wyczerpania dostępnej pamięci i spowodować, że kontener zostanie zabity z powodu braku pamięci (OOMKilled).

W repozytorium GitHub jgraph/drawio przed wersją 21.5.0 występuje podatność na wstrzykiwanie poleceń systemowych.

W repozytorium GitHub jgraph/drawio przed wersją 21.4.0 występuje podatność na wstrzykiwanie poleceń systemowych.

W repozytorium GitHub jgraph/drawio przed wersją 21.6.3 występuje podatność typu Cross-site Scripting (XSS) odzwierciedlona.

W systemie zarządzania treścią Kirby występuje podatność związana z obsługą zewnętrznych encji XML (XXE) w wersjach przed 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 i 3.9.6. Podatność ta dotyczy tylko stron Kirby, które używają obsługi danych `Xml` lub metody `Xml::parse()` w kodzie strony lub wtyczek.

W systemie zarządzania treścią Kirby występuje podatność związana z niewystarczającym wygasaniem sesji, która dotyczy wersji przed 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 i 3.9.6. Umożliwia ona atakującym pozostanie zalogowanym na stronie Kirby nawet po zmianie hasła przez użytkownika.

W systemie zarządzania treścią Kirby występuje podatność, która pozwala atakującym z dostępem do zapisu treści na nadpisywanie pól, które nie powinny być modyfikowane. Problem dotyczy wersji przed 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 i 3.9.6, a jego wykorzystanie może prowadzić do zmiany treści strony lub wstrzyknięcia złośliwych danych.