Katalog podatności CVE

AVG AntiVirus dla MacOS z silnikiem skanowania przed wersją 4668 może pozwolić zdalnym atakującym na ominięcie wykrywania złośliwego oprogramowania poprzez niewykrywanie plików obrazu dysku (DMG).

Wersja 7400.12.21.30308 oprogramowania disp+work w SAP NetWeaver 7.40 pozwala zdalnym atakującym na spowodowanie odmowy usługi (zużycie zasobów) poprzez spreparowane żądanie DIAG.

W unrar-free 0.0.1, w trybie _DEBUG_LOG, może wystąpić przepełnienie bufora na stosie, co prowadzi do awarii aplikacji. Atakujący zdalnie mogą wykorzystać archiwum RAR z długą nazwą pliku, aby wywołać ten problem.

W podatności CVE-2017-4057 w interfejsie webowym McAfee Advanced Threat Defense (ATD) w wersjach 3.10, 3.8, 3.6, 3.4, zdalni uwierzytelnieni użytkownicy mogą uzyskać podwyższone uprawnienia poprzez GUI lub polecenia terminala GUI.

Wykorzystanie podatności związanej z uwierzytelnianiem w interfejsie webowym McAfee Advanced Threat Defense (ATD) 3.10, 3.8, 3.6, 3.4 pozwala zdalnym, nieautoryzowanym użytkownikom na ominięcie detekcji ATD poprzez luźne egzekwowanie uwierzytelniania i autoryzacji.

W podatności CVE-2017-4054 występuje możliwość wstrzyknięcia polecenia w interfejsie webowym McAfee Advanced Threat Defense (ATD) w wersjach 3.10, 3.8, 3.6 i 3.4. Zdalni uwierzytelnieni użytkownicy mogą wykonać dowolne polecenie za pomocą odpowiednio skonstruowanego parametru żądania HTTP.

W podatności CVE-2017-4053 występuje luka typu Command Injection w interfejsie webowym McAfee Advanced Threat Defense (ATD) w wersjach 3.10, 3.8, 3.6 i 3.4. Umożliwia ona zdalnym, nieautoryzowanym użytkownikom lub atakującym wykonanie dowolnego polecenia poprzez odpowiednio skonstruowany parametr żądania HTTP.

W podatności CVE-2017-4052 w interfejsie webowym McAfee Advanced Threat Defense (ATD) 3.10, 3.8, 3.6, 3.4 występuje możliwość ominięcia uwierzytelnienia. Zdalni, nieautoryzowani użytkownicy mogą zmieniać lub aktualizować ustawienia konfiguracyjne oraz uzyskać funkcjonalność administratora za pomocą odpowiednio skonstruowanego parametru żądania HTTP.

Funkcja ReadDPXImage w ImageMagick 7.0.6-0 zawiera podatność na dużą pętlę, która może prowadzić do wyczerpania CPU przy użyciu spreparowanego pliku DPX, związaną z brakiem sprawdzenia EOF.

phpMyFAQ w wersjach przed 2.9.8 nie zabezpiecza odpowiednio przed atakami typu brute-force, które polegają na szybkim próbowaniu wielu haseł podczas logowania.

FineCMS w wersji 2.1.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez wykorzystanie akcji 'Dodaj stronę' w Menedżerze URL, wprowadzając ten kod po sekwencji ', w nazwie domeny.

W podatności w ipsilon 2.0 przed wersją 2.0.2, 1.2 przed 1.2.1, 1.1 przed 1.1.2 oraz 1.0 przed 1.0.3, atakujący może wylogować aktywne sesje innych użytkowników. Problem ten dotyczy sposobu śledzenia sesji i pozwala nieautoryzowanemu atakującemu na przeglądanie oraz zakończenie aktywnych sesji innych użytkowników.

Podatność CVE-2017-11165 dotyczy urządzenia dataTaker DT80 dEX w wersji 1.50.012, które pozwala zdalnym atakującym na uzyskanie wrażliwych informacji o poświadczeniach i konfiguracji poprzez bezpośrednie żądanie do URI /services/getFile.cmd?userfile=config.xml.

W FineCMS do 2017-07-11, plik application/core/controller/style.php umożliwia zdalnym atakującym zapis do dowolnych plików za pomocą parametrów contents i filename w akcji route=style. Może to prowadzić do nadpisania pliku .php, ponieważ nie sprawdzana jest jego rozszerzenie.

Funkcja mq_notify w jądrze Linux do wersji 4.11.9 nie ustawia wskaźnika sock na NULL przy wejściu do logiki ponownego próbowania. Może to prowadzić do wykorzystania po zwolnieniu pamięci lub innych nieokreślonych skutków.

Microsoft Edge na systemach Windows 10 oraz Windows Server 2016 zawiera podatność umożliwiającą zdalne wykonanie kodu związaną z błędami w silnikach skryptowych. Problem występuje podczas obsługi obiektów w pamięci.

Internet Explorer w systemach Microsoft Windows ma podatność związaną z błędnym renderowaniem obiektów w pamięci przez silniki skryptowe, co prowadzi do uszkodzenia pamięci. Dotyczy to wielu wersji systemów operacyjnych, w tym Windows 7, Windows 8.1 oraz Windows 10.

Microsoft Edge w systemie Windows 10 w wersji 1703 zawiera podatność umożliwiającą zdalne wykonanie kodu, związaną z tym, jak silniki skryptowe Microsoftu renderują obiekty w pamięci.

Podatność w Microsoft Edge w systemie Windows 10 1703 pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika, gdy silnik JavaScript nieprawidłowo renderuje obiekty w pamięci.

Podatność w silniku JavaScript przeglądarki Microsoft Internet Explorer pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Problem występuje w systemach Windows 10 oraz Windows Server 2016, gdy silnik nieprawidłowo obsługuje obiekty w pamięci.