Katalog podatności CVE

W wersji 2.1.2 biblioteki mp4v2 odkryto wyciek pamięci w klasie MP4BytesProperty.

System oceny wykładowców Sourcecodester w wersji 1.0 jest podatny na wykonanie dowolnego kodu poprzez skrypt /eval/ajax.php?action=save_user.

System oceny wykładowców Sourcecodester w wersji 1.0 jest podatny na atak typu SQL Injection poprzez parametr 'id' w pliku /eval/admin/manage_task.php.

Skycaiji w wersji 2.5.4 jest podatny na atak typu Cross Site Scripting (XSS). Napastnicy mogą uzyskać dostęp do backendu poprzez wdrożenie złośliwych danych JSON.

Moduł scquickaccounting w Store Commander dla PrestaShop do wersji 3.7.3 pozwala na wykonanie wielu wrażliwych zapytań SQL za pomocą prostego żądania HTTP, co może prowadzić do wykorzystania podatności typu blind SQL injection.

Moduł scfixmyprestashop w Store Commander do 2023-05-09 dla PrestaShop pozwala na wykonanie wrażliwych zapytań SQL za pomocą prostego żądania HTTP, co może prowadzić do osadzenia ślepej iniekcji SQL.

Moduł scexportcustomers w Store Commander dla PrestaShop do wersji 3.6.1 pozwala na wykonanie wrażliwych zapytań SQL za pomocą prostego żądania HTTP, co może prowadzić do wykorzystania podatności typu blind SQL injection.

W WFTPD 3.25, nazwy użytkowników i hashe haseł są przechowywane w otwartym pliku konfiguracyjnym wftpd.ini, który jest dostępny w katalogu WFTPD. Jest to produkt z 2006 roku.

W wersji 5.0.5 mipjz występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrze 'name' w pliku /app/tag/controller/ApiAdminTagCategory.php.

W wersji 5.0.5 mipjz występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru Description w /index.php?s=/article/ApiAdminArticle/itemAdd.

IceCMS w wersji 1.0.0 jest podatny na ataki typu Cross Site Scripting (XSS), co może umożliwić atakującym wstrzykiwanie złośliwego kodu do aplikacji.

IceCMS w wersji 1.0.0 ma niewłaściwe uprawnienia, co prowadzi do nieautoryzowanego dostępu do API i ujawnienia wrażliwych informacji.

W podatności CVE-2023-2851 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania poleceń z linii komend poprzez SQL Injection. Problem dotyczy wszystkich wersji oprogramowania AGT Tech Ceppatron.

Brak sprawdzenia uprawnień dostępu w kliencie M-Files przed wersją 23.5.12598.0 (z wyłączeniem 23.2 SR2 i nowszych) umożliwia podniesienie uprawnień za pomocą aplikacji rozszerzeń interfejsu użytkownika.

Podatność CVE-2023-2887 dotyczy systemu CBOT Chatbot, umożliwiając obejście uwierzytelniania poprzez spoofing. Problem ten występuje w wersjach Chatbot przed Core: v4.0.3.4 oraz Panel: v4.0.3.7.

Podatność w CBOT Chatbot związana z niewłaściwym egzekwowaniem integralności wiadomości podczas transmisji w kanale komunikacyjnym umożliwia atakującemu przeprowadzenie ataku typu Adversary in the Middle (AiTM).

Podatność w CBOT Chatbot związana jest z użyciem kryptograficznie słabego generatora liczb pseudolosowych, co umożliwia fałszowanie podpisów poprzez rekreację klucza.

Podatność w CBOT Chatbot umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do nadużyć związanych z autoryzacją oraz obejścia uwierzytelniania.

Podatność w CBOT Chatbot związana z generowaniem nieprawidłowych tokenów zabezpieczeń umożliwia podszywanie się pod użytkowników oraz nadużywanie uprawnień.

Wtyczka MStore API dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 3.9.1 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika podczas synchronizacji koszyka z mobilnego żądania REST API przez wtyczkę.