Katalog podatności CVE

W podatności CWE-20: Niewłaściwa walidacja danych wejściowych w urządzeniach PowerLogic EGX100 (wersje 3.0.0 i nowsze) oraz PowerLogic EGX300 (wszystkie wersje) może dojść do odmowy usługi lub zdalnego wykonania kodu poprzez specjalnie przygotowany pakiet HTTP.

W urządzeniach PowerLogic EGX100 (wersje 3.0.0 i nowsze) oraz PowerLogic EGX300 (wszystkie wersje) występuje podatność CWE-20: Niewłaściwa walidacja danych wejściowych. Może ona prowadzić do odmowy usługi w wyniku specjalnie skonstruowanego pakietu HTTP.

W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-287: Niewłaściwa autoryzacja, która może prowadzić do utraty łączności z urządzeniem za pośrednictwem protokołu Modbus TCP, gdy atakujący wyśle specjalnie przygotowane żądanie HTTP.

CVE-2021-22763

Krytyczne

W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-640 związana z słabym mechanizmem odzyskiwania hasła dla zapomnianego hasła. Może to umożliwić atakującemu uzyskanie dostępu na poziomie administratora do urządzenia.

CVE-2021-22175

Gdy włączone są żądania do sieci wewnętrznej dla webhooków, podatność typu server-side request forgery w GitLab (wszystkie wersje od 10.5) może być wykorzystana przez nieuwierzytelnionego atakującego, nawet gdy rejestracja jest wyłączona.

CVE-2021-25395

Warunek wyścigu w sterowniku ładowarki MFC przed wydaniem SMR MAY-2021 Release 1 pozwala lokalnym atakującym obejść sprawdzanie podpisu, jeśli uprawnienia radiowe są przejęte.

CVE-2021-25394

Podatność use after free wynikająca z warunku wyścigu w sterowniku ładowarki MFC przed wydaniem SMR MAY-2021 Release 1 pozwala na dowolny zapis, jeśli uprawnienia radiowe są przejęte.

CVE-2021-26829

OpenPLC ScadaBR do wersji 0.9.1 na Linuksie i do 1.12.4 na Windowsie pozwala na przechowywany XSS poprzez system_settings.shtm.

CVE-2021-26828

Podatność w OpenPLC ScadaBR do wersji 0.9.1 na Linuksie i do 1.12.4 na Windows pozwala uwierzytelnionym zdalnym użytkownikom na przesłanie i wykonanie dowolnych plików JSP poprzez view_edit.shtm.

CVE-2021-31659

Wysokie

10/06/2021(UTC)

Podatność CSRF w przełącznikach TP-Link TL-SG2005, TL-SG2008 i innych w wersji oprogramowania 1.0.0 Build 20180529 Rel.40524. Wszystkie dane konfiguracyjne są przesyłane w URL bez dodatkowego tokena uwierzytelniającego, co umożliwia atakującemu wykorzystanie złośliwego linku do zmiany hasła i modyfikacji pliku konfiguracyjnego.

CVE-2021-31658

WysokieEPSS 59%

10/06/2021(UTC)

W przełącznikach TP-Link TL-SG2005, TL-SG2008 i innych w wersji oprogramowania 1.0.0 Build 20180529 Rel.40524 występuje błąd indeksu tablicy. Interfejs odpowiedzialny za funkcję "opis urządzenia" sprawdza jedynie długość otrzymywanych danych, nie filtrując znaków specjalnych. Podatność ta powoduje awarię aplikacji i usunięcie całej konfiguracji urządzenia.

CVE-2021-29049

ŚrednieEPSS 50%

09/06/2021(UTC)

Podatność na atak typu Cross-site scripting (XSS) w module Portal Workflow w Liferay DXP, występująca na stronie edycji procesu. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr currentURL.

CVE-2020-11261

09/06/2021(UTC)

Podatność polegająca na uszkodzeniu pamięci z powodu niewłaściwego sprawdzenia błędu przy żądaniu przez aplikację użytkownika alokacji pamięci o ogromnym rozmiarze. Dotyczy wielu platform Qualcomm Snapdragon, w tym Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice & Music oraz Wearables.

CVE-2021-33742

Podatność zdalnego wykonania kodu w platformie Windows MSHTML. Szczegóły techniczne nie zostały podane w opisie.

CVE-2021-33739

Podatność podniesienia uprawnień w bibliotece Microsoft DWM Core Library. Szczegóły techniczne nie zostały podane w opisie.

CVE-2021-31956

Podatność podniesienia uprawnień w systemie plików Windows NTFS. Szczegóły techniczne nie zostały podane w opisie.

CVE-2021-31955

Podatność polegająca na ujawnieniu informacji w jądrze Windows.

CVE-2021-31201