Katalog podatności CVE

W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.

W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.

W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.

W systemie Orchard CMS 1.10.3 wykryto podatność na atak XSS. Użytkownik z niskimi uprawnieniami (autor lub wydawca) może wstrzyknąć złośliwy kod HTML i JavaScript w treść wpisu blogowego, co po załadowaniu przez administratora prowadzi do przejęcia jego konta lub eskalacji uprawnień.

W systemach Wind River VxWorks 6.9 i 7 odkryto problem, który pozwala na wysłanie specjalnie skonstruowanego pakietu przez serwer Radius, co może prowadzić do awarii usługi podczas procedury dostępu IP Radius.

Przepełnienie bufora na stercie w Vimie w wersji 9.0.0946 i niższych, umożliwiające atakującemu użycie CTRL-W gf w wyrażeniu użytym w prawej stronie polecenia substitute.

W jądrze Linux do wersji 6.0.9 w pliku drivers/media/dvb-core/dvbdev.c występuje użycie po zwolnieniu (use-after-free) związane z dynamicznym przydzielaniem fops przez dvb_register_device.

Wtyczka Amasty Blog Pro w wersjach 2.10.3 i 2.10.4 dla Magento 2 zawiera podatność na trwały atak XSS (Stored Cross-site Scripting) z powodu funkcji duplikowania postów.

Podatność w Maarch RM 2.8.3 wynika z nieprawidłowego ograniczenia prób uwierzytelniania, co objawia się nadmiernie szczegółowymi odpowiedziami aplikacji. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do przeprowadzenia ataku siłowego na konta użytkowników.

Wtyczka Amasty Blog w wersji 2.10.3 zawiera podatność na atak typu Cross-Site Scripting (XSS) w funkcji dodawania komentarzy. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

W systemie Maarch RM 2.8.3 wykryto podatność związaną z nieskuteczną kontrolą dostępu. Podczas podglądu dokumentów (PDF, e-mail) z archiwum aplikacja generuje URL zawierający hash MD5 pliku, który jest dostępny bez uwierzytelnienia.

Podatność SQL Injection w uwierzytelnionej sesji na stronie statystyk (/statistics/retrieve) Maarch RM 2.8, poprzez parametr filter, umożliwia pełne ujawnienie wszystkich baz danych.

W oprogramowaniu sprzętowym Netgear R7000P w wersji V1.3.0.8 wykryto podatność na przepełnienie bufora. Problem występuje podczas przetwarzania parametrów apmode_dns1_pri i apmode_dns1_sec.

W systemie ERP Sankhya przed wersją v4.11b81 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie Caixa de Entrada. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) poprzez plik rotateimg.php. Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych.

Fusiondirectory 1.3 zawiera podatność na atak XSS przez parametry w adresie URL. Atakujący może wstrzyknąć złośliwy skrypt przez parametry message i plug w kilku ścieżkach aplikacji.