Katalog podatności CVE

Wtyczka Smart App Banner w wersjach do 1.1.2 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka BEAR w wersjach do 1.1.3.1 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka Awesome Motive Duplicator Pro w wersjach do 4.5.11 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Podatność CSRF w wtyczce Crocoblock JetFormBuilder w wersjach do 3.0.6 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka WooDiscuz – WooCommerce Comments zawiera podatność na przechowywane ataki XSS, które mogą być wykorzystane przez użytkowników z uprawnieniami administratora. Problem dotyczy wersji od n/a do 2.2.9.

Nextcloud Mail to aplikacja pocztowa w Nextcloud, która jest podatna na atak typu blind SSRF. Atak ten umożliwia wysyłanie żądań GET do usług działających na tym samym serwerze WWW.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Źle sformatowany kanał RSS może dostarczyć ładunek XSS. Problem został naprawiony w wersji 4.4.6.

Podatność w ntpd-rs, implementacji NTP napisanej w Rust, polega na braku walidacji długości ciasteczek NTS w otrzymanych pakietach NTP. Atakujący może spowodować awarię serwera, wysyłając specjalnie skonstruowany pakiet NTP z ciasteczkiem krótszym niż oczekiwane przez serwer.

Omni-notes to aplikacja do robienia notatek na Androida, która miała lukę w walidacji ścieżek. Luka ta pozwalała złośliwym aplikacjom na kopiowanie plików z wewnętrznego magazynu do zewnętrznego, co mogło prowadzić do nieautoryzowanego dostępu do danych.

Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych. Występuje podatność na atak typu cross-site scripting (XSS), która może być wywołana przez wolumeny recenzji. Problem został naprawiony w wersji 4.4.7.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Platforma nie filtruje danych wejściowych i nie koduje danych wyjściowych w komunikacie o błędzie walidacji Quick Post, co może prowadzić do ataku XSS.

Highlight to otwartoźródłowa platforma monitorująca, która może rejestrować hasła w przypadku, gdy pole HTML z hasłem zostanie zmienione na `type="text"` za pomocą przycisku JavaScript 'Pokaż hasło'. To zachowanie różni się od oczekiwanego, które zawsze ukrywa dane wejściowe typu `password`.

Django-SES to backend pocztowy dla Django, który implementuje obsługę AWS Simple Email Service. W bibliotece django_ses wystąpił błąd w weryfikacji podpisów żądań z AWS, co pozwalało na określenie dowolnych publicznych certyfikatów.

W aplikacji internetowej Papaya Viewer w wersji 1.0.1449 odkryto problem związany z brakiem sanitizacji danych wejściowych. Użytkownicy mogą załadować obrazy DICOM lub NIFTI, co umożliwia wstrzyknięcie dowolnego kodu JavaScript do metadanych obrazu, który jest wykonywany podczas wyświetlania tych metadanych.

Serwer zdalnego zbierania danych Talend Data Catalog przed wersją 8.0-20230413 zawiera punkt końcowy /upgrade, który umożliwia wdrożenie nieautoryzowanego pliku WAR na serwerze.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Wykryto podatność na atak typu cross-site scripting (XSS), która może być wywołana za pomocą narzędzia Update Asset Index. Problem został naprawiony w wersji 4.4.6.

W TFDi Design smartCARS 3 w wersji 0.7.0 i wcześniejszych występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do treści artykułu.

W XXL-Job v2.4.1 wykryto podatność na eskalację uprawnień w poziomie, która umożliwia użytkownikowi wykonanie dowolnych poleceń na koncie innego użytkownika poprzez spreparowane żądanie POST do komponentu /jobinfo/.