Katalog podatności CVE

W Liferay Portal w wersjach od 7.4.0 do 7.4.3.30 oraz w Liferay DXP 7.4 przed aktualizacją 31 występuje podatność typu Cross-site scripting (XSS) w aplikacjach zdalnych typu IFrame. Umożliwia to zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez URL IFrame aplikacji zdalnej.

Podatność XSS w widżecie Modified Facet w Liferay Portal od wersji 7.1.0 do 7.4.3.12 oraz Liferay DXP 7.1 przed poprawką 27, 7.2 przed poprawką 18, 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 9 umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w etykiecie facetu.

W module App Builder w Liferay Portal 7.3.0 do 7.4.0 oraz Liferay DXP 7.3 przed aktualizacją 14 występuje podatność na atak typu cross-site scripting (XSS). Atakujący mogą wstrzykiwać dowolne skrypty webowe lub HTML poprzez spreparowany ładunek w polu 'Nazwa' obiektu niestandardowego w App Builder.

W podatności CVE-2023-2064 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w systemie Minova Technology eTrace. Problem dotyczy wersji eTrace przed 23.05.20.

W podatności CVE-2023-2045 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w oprogramowaniu Ipekyolu Auto Damage Tracking Software w wersjach przed 4.

W Liferay Portal w wersjach od 7.1.0 do 7.3.0 oraz Liferay DXP 7.1 przed poprawką 18 i 7.2 przed poprawką 5 występuje podatność na przechowywane ataki XSS. Atakujący może wstrzyknąć dowolny skrypt webowy lub HTML poprzez spreparowany ładunek w polu `name` formularza.

Podatność w systemie śledzenia ładunków Armoli Technology umożliwia obejście autoryzacji poprzez wykorzystanie klucza kontrolowanego przez użytkownika, co prowadzi do nadużyć związanych z uwierzytelnianiem.

W podatności CVE-2023-2750 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w systemie Cityboss E-municipality. Problem dotyczy wersji E-municipality przed 6.05.

Wtyczka Go Pricing - WordPress Responsive Pricing Tables dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewłaściwej weryfikacji uprawnień w funkcji 'validate_upload' w wersjach do 3.3.19 włącznie. Umożliwia to uwierzytelnionym atakującym, którym administrator wcześniej przyznał dostęp do wtyczki, przesyłanie dowolnych plików na serwer dotkniętej witryny.

W Wondershare Filmora 12 (Build 12.2.1.2088) odkryto podatność niecytowanej ścieżki usługi w komponencie NativePushService. Luka ta umożliwia atakującym uruchamianie procesów z podwyższonymi uprawnieniami.

AList w wersji 3.15.1 jest podatny na błędne zarządzanie dostępem, co może być wykorzystane przez atakujących do uzyskania poufnych informacji.

Podatność CVE-2023-1508 dotyczy oprogramowania Mobilmen Terminal w systemach Adam Retail Automation, które jest podatne na atak typu SQL Injection. Problem występuje w wersjach przed 3.

W Teeworlds v0.7.5 wykryto wyciek pamięci w komponencie CConsole::Chain. Otwarcie spreparowanego pliku przez atakującego może prowadzić do odmowy usługi (DoS).

Podatność w systemie zarządzania konkursami Finex Media umożliwia nieautoryzowanym osobom dostęp do prywatnych danych osobowych oraz zbieranie danych dostarczonych przez użytkowników.

Podatność CVE-2023-2702 w systemie zarządzania konkursem Finex Media umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika, co prowadzi do nadużyć związanych z uwierzytelnianiem.

Wykryto podatność typu OS Command Injection w oprogramowaniu układowym Parks Fiberlink 210 w wersji V2.1.14_X000, która występuje w parametrze target_addr w /boaform/admin/formPing.

EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.

Piwigo w wersji 13.6.0 jest podatny na atak typu SQL Injection w funkcji 'profile'.