Katalog podatności CVE

W Apache Tomcat wystąpiła regresja w poprawce dla błędu 66512, która powoduje, że w przypadku braku nagłówków HTTP w odpowiedzi, nie zostanie wysłana wiadomość AJP SEND_HEADERS. To prowadzi do wykorzystania nagłówków odpowiedzi z poprzedniego żądania przez co najmniej jeden proxy AJP (mod_proxy_ajp), co skutkuje wyciekiem informacji.

W Apache Accumulo 2.1.0 występuje podatność związana z niewłaściwą autoryzacją, która może pozwolić na pomyślne uwierzytelnienie przy użyciu nieprawidłowych danych logowania. Użytkownicy powinni zaktualizować do wersji 2.1.1.

W systemie zarządzania szkołą Agro-School Management System w wersji 1.0 zidentyfikowano krytyczną podatność. Manipulacja argumentem test_id w pliku exam-delete.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

Oprogramowanie układowe Netgear R6250 w wersji 1.0.4.48 jest podatne na przepełnienie bufora po uwierzytelnieniu.

W jądrze Linuxa do wersji 6.1-rc8 odkryto problem związany z brakiem sprawdzenia wartości zwracanej przez funkcję kzalloc() w dpu_crtc_atomic_check, co prowadzi do dereferencji wskaźnika NULL.

CloudPanel 2 w wersjach przed 2.3.1 ma niebezpieczną autoryzację ciasteczek w menedżerze plików.

XWiki Platform to ogólna platforma wiki, która umożliwia wykonywanie dowolnej zawartości wiki z uprawnieniami autora TipsPanel poprzez stworzenie rozszerzenia UI tip. Problem ten został naprawiony w wersjach XWiki 15.1-rc-1 oraz 14.10.5.

Wersja D7.0.88 Enphase Envoy jest podatna na atak typu injection, który może umożliwić atakującemu wykonanie poleceń z uprawnieniami roota.

W systemie SourceCodester Online School Fees System w wersji 1.0 zidentyfikowano krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku ajx.php w komponencie GET Parameter Handler, gdzie manipulacja argumentem name_startsWith prowadzi do wstrzyknięcia SQL.

Adiscon LogAnalyzer w wersji 4.1.13 i wcześniejszych jest podatny na atak typu SQL Injection.

Langchain w wersji 0.0.171 jest podatny na wykonanie dowolnego kodu w funkcji load_prompt.

Wtyczka Flothemes Flo Forms w wersjach do 1.0.40 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników administracyjnych.

Podatność w oprogramowaniu układowym czujnika ruchu Fibaro w wersji 3.4 umożliwia atakującym spowodowanie odmowy usługi (DoS) za pomocą spreparowanej wiadomości Z-Wave.

Podatność w oprogramowaniu układowym Aeotec WallMote Switch w wersji 2.3 umożliwia atakującym spowodowanie odmowy usługi (DoS) za pomocą spreparowanej wiadomości Z-Wave.

Craft CMS w wersjach do 4.4.9 jest podatny na wstrzykiwanie HTML.

W systemie zakupów online PuneethReddyHC Advanced 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /admin/reg.php w komponencie rejestracji administratora, co prowadzi do niewłaściwej autoryzacji.

Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.

Wtyczka John Brien WordPress NextGen GalleryView w wersjach do 0.5.5 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka WP Affiliate Links w wersjach do 0.1.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.