Katalog podatności CVE

Podatność Server Side Request Forgery (SSRF) w Deskpro Support Desk v2021.21.6 umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowany URL. Luka wynika z braku odpowiedniego filtrowania żądań wychodzących z serwera.

Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.

Podatność w Microsoft Edge (oparty na Chromium) umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.

Podatność w Microsoft Edge dla systemu Android umożliwia oszustwo, co może prowadzić do wyłudzenia danych użytkowników. Atakujący może wykorzystać tę lukę do podszywania się pod zaufane źródła.

Podatność w Microsoft Edge (oparty na Chromium) umożliwia oszustwo, co może prowadzić do nieautoryzowanego dostępu do danych użytkownika.

W GitLab EE odkryto problem z wyciekiem wrażliwych informacji, który dotyczy wszystkich wersji od 16.0 do 16.0.6 oraz od 16.1 do 16.1.1. Umożliwia on dostęp do tytułów prywatnych zgłoszeń i MR.

WebBoss.io CMS w wersjach przed 3.7.0.1 zawiera podatność na odzwierciedlone ataki XSS.

W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 występuje podatność na atak Cross-site Scripting (XSS) typu reflected.

W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 występuje podatność na atak Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.

W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 występuje podatność na atak typu SQL Injection.

W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 wystąpiła podatność, która umożliwia ujawnienie wrażliwych informacji osobom nieuprawnionym.

Metabase w wersjach przed 0.46.6.1 oraz Metabase Enterprise przed 1.46.6.1 pozwala atakującym na wykonywanie dowolnych poleceń na serwerze z poziomu uprawnień serwera. Wykorzystanie tej podatności nie wymaga uwierzytelnienia.

W GitLab EE odkryto problem, który dotyczy wszystkich wersji od 12.8 do przed 15.11.11, od 16.0 do przed 16.0.7 oraz od 16.1 do przed 16.1.2. W określonych sytuacjach atakujący mógł zmienić nazwę lub ścieżkę publicznej grupy na najwyższym poziomie.

Zidentyfikowano podatność typu format string w urządzeniach ASUS RT-AX56U V2 oraz RT-AC86U. Problem ten wynika z braku walidacji określonej wartości podczas wywoływania funkcji cm_processChangedConfigMsg w systemie AiMesh.

Zidentyfikowano podatność typu format string w urządzeniach ASUS RT-AX56U V2 oraz RT-AC86U. Problem ten wynika z bezpośredniego użycia danych wejściowych jako ciągu formatu podczas wywoływania syslog w funkcji logmessage_normal w module do_detwan_cgi.

Wykryto podatność w y_project RuoYi do wersji 4.7.7, która dotyczy funkcji uploadFilesPath komponentu File Upload. Manipulacja argumentem originalFilenames prowadzi do ataków typu cross site scripting.

W systemie zarządzania szpitalem w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanego przetwarzania pliku patientprofile.php, gdzie manipulacja argumentem address prowadzi do wstrzyknięcia SQL.

W podatności CVE-2023-37292 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń systemowych w modułach użytkownika iSherlock 4.5 i 5.5. Problem ten dotyczy wersji iSherlock 4.5 przed iSherlock-user-4.5-174 oraz iSherlock 5.5 przed iSherlock-user-5.5-174.

W systemie zarządzania szpitalem w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku patientappointment.php. Manipulacja argumentami loginid, password, mobileno, appointmentdate, appointmenttime, patiente, dob, doct oraz city prowadzi do ataku typu SQL injection.

W systemie zarządzania szpitalem w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'address' w pliku patient.php prowadzi do ataku typu SQL injection, który można przeprowadzić zdalnie.