Katalog podatności CVE

Podatność w systemie LMS firmy Fernus Informatics pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń systemowych oraz wstrzyknięcia SSI.

W podatności CVE-2023-1765 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w systemie Akbim Computer Panon. Problem dotyczy wersji Panon przed 1.0.2.

W narzędziu openapi-generator do wersji 6.4.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie /api/gen/clients/{language}. Umożliwia ona atakującemu dostęp do zasobów sieciowych i poufnych informacji poprzez spreparowane żądanie API.

W systemie zarządzania projektami Infoline występuje podatność typu Server-Side Request Forgery (SSRF), która umożliwia atakującym wysyłanie złośliwych żądań z serwera. Problem dotyczy wersji przed 4.09.31.125.

Podatność w produktach Stimuloft umożliwia zdalne wykonanie kodu. Wersje 2023.1.4 (Designer Desktop) oraz 2023.1.3 (Designer Web i Viewer Web) nie blokują dostępu do lokalnego systemu plików, co pozwala atakującemu na odczyt i zapis plików oraz katalogów. Atakujący może również przygotować raport zawierający zmienną przechowującą zebrane dane i wyrenderować go.

Podatność w bibliotece ComponentSpace.Saml2 4.4.0 polega na braku walidacji certyfikatów SSL. Producent nie uznaje tego za błąd, argumentując, że certyfikaty są wymieniane w kontrolowany sposób w ramach zaufanych relacji, a walidacja na poziomie aplikacji nie jest tak istotna jak na poziomie transportu.

W systemie raportowania internetowego As Koc Energy występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji przed 23.03.10.

W podatności CVE-2023-1153 w aplikacji Pacsrapor przed wersją 1.22 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection oraz wykonanie poleceń systemowych przez SQL Injection.

W podatności CVE-2023-1152 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Persolus firmy Utarit Information Technologies. Problem dotyczy wersji Persolus przed 2.03.93.

Podatność w ssh-add w OpenSSH przed wersją 9.3 powoduje dodawanie kluczy z kart inteligentnych do ssh-agent bez wymaganych ograniczeń docelowych dla poszczególnych skoków. Problem dotyczy wersji od 8.9.

Podatność CVE-2023-1198 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w aplikacji Saysis Starcities, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji Starcities do 1.3.

Podatność CVE-2023-1091 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania poleceń systemowych poprzez SQL Injection w systemie Alpata Licensed Warehousing Automation System. Problem ten dotyczy wersji systemu do 2023.1.01.

W podatności CVE-2023-1251 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Akinsoft Wolvox. Problem dotyczy wersji Wolvox przed 8.02.03.

W repozytorium GitHub builderio/qwik przed wersją 0.21.0 występuje podatność na wstrzykiwanie kodu. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu.

W podatności CVE-2023-1267 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji PtteM Kart w wersjach przed 2.1.

Podatność CVE-2022-3760 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji Mia-Med przed wersją 1.0.0.58.

W podatności CVE-2023-0979 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w systemie MedData MedDataPACS. Problem dotyczy wersji przed 3 marca 2023 roku.

Podatność CVE-2023-0839 dotyczy niewłaściwej ochrony dla wychodzących komunikatów o błędach i sygnałów alarmowych w oprogramowaniu inSCADA firmy ProMIS Process Co. Umożliwia to przeprowadzenie ataku typu Account Footprinting.

W routerze Shenzhen Zhibotong Electronics WBT WE1626 w wersji 21.06.18 wykryto podatność umożliwiającą atakującemu wykonanie dowolnych poleceń poprzez połączenie szeregowe z portem UART.

W routerze Shenzhen Zhiboton Electronics ZBT WE1626 w wersji 21.06.18 odkryto podatność umożliwiającą eskalację uprawnień. Atakujący może wykorzystać polecenie WGET w punkcie końcowym diagnostyki sieciowej.