Katalog podatności CVE

W CPython 3.12.0 w module subprocess na platformach POSIX stwierdzono problem: gdy parametr extra_groups=[] jest używany, proces nie wywołuje setgroups(0, NULL) przed exec(), co powoduje, że nowy proces dziedziczy grupy procesu nadrzędnego. Problem został naprawiony w CPython 3.12.1 i dotyczy tylko procesów uruchomionych z uprawnieniami root.

W aplikacji DaiCuo w wersji 2.5.15 odkryto podatność na trwałe skryptowanie między witrynami (XSS) w pliku /admin.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez spreparowane dane wejściowe.

W MISP przed wersją 2.4.179 występuje podatność XSS w widżecie osi czasu wydarzeń, zlokalizowana w pliku app/Lib/Tools/EventTimelineTool.php.

Podatność w aiohttp pozwala atakującemu na modyfikację żądania HTTP poprzez niewłaściwą walidację, co może prowadzić do wstrzykiwania nowych nagłówków lub tworzenia nowych żądań, jeśli atakujący kontroluje metodę HTTP.

Wtyczka Email Encoder dla WordPressa autorstwa Jannisa Thuemmiga w wersji 2.1.8 i wcześniejszych zawiera podatność na atak XSS (Cross-site Scripting) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.

W Symfony od wersji 2.0.0, 5.0.0 i 6.0.0 do 4.4.51, 5.4.31 i 6.3.8 niektóre filtry Twig w CodeExtension używają `is_safe=html`, ale nie zapewniają bezpieczeństwa danych wejściowych. Począwszy od wersji 4.4.51, 5.4.31 i 6.3.8 Symfony ucieka dane wyjściowe dotkniętych filtrów.

Podatność na atak XSS w Wonder CMS w wersjach od 3.2.0 do 3.4.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego skryptu do komponentu installModule.

W Vimie występuje podatność typu use-after-free w pamięci przydzielonej w funkcji `ga_grow_inner`. Problem ten może wystąpić podczas używania komendy `:history`, co prowadzi do przepełnienia wartości całkowitej i potencjalnego wykorzystania pamięci po jej zwolnieniu.

W xorg-x11-server zidentyfikowano lukę typu use-after-free, która może prowadzić do awarii serwera X w specyficznej konfiguracji z wieloma ekranami. Problem występuje, gdy wskaźnik jest przenoszony z okna na jednym ekranie do okna głównego innego ekranu, a następnie oryginalne okno jest niszczone, po czym niszczone jest kolejne okno.

W sterowniku systemu plików NTFS w GRUB2 wykryto błąd odczytu poza dozwolonym zakresem pamięci. Fizycznie obecny atakujący może dostarczyć specjalnie spreparowany obraz systemu plików NTFS, aby odczytać dowolne lokalizacje pamięci. Udany atak umożliwia wyciek wrażliwych danych z pamięci podręcznej lub wartości zmiennych EFI, co stanowi wysokie ryzyko dla poufności.

Podatność w systemie archiwizacji stron internetowych ArchiveBox umożliwia wykonanie złośliwego kodu JavaScript w kontekście sesji administratora. Problem dotyczy użytkowników korzystających z ekstraktora `wget` i przeglądających zarchiwizowane strony. Złośliwy kod może przejąć uprawnienia administratora i wykonywać dowolne operacje na archiwum.

Wielokrotne podatności typu Stored Cross Site Scripting (XSS) w Opart opartmultihtmlblock przed wersją 2.0.12 oraz Opart multihtmlblock* w wersji 1.0.0, umożliwiają zdalnym uwierzytelnionym użytkownikom wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez pola body_text lub body_text_rude w plikach /sourcefiles/BlockhtmlClass.php oraz /sourcefiles/blockhtml.php.

W narzędziu tiffcrop w bibliotece Libtiff znaleziono lukę w pamięci, która występuje podczas przetwarzania pliku obrazu TIFF. Atakujący może przekazać specjalnie przygotowany plik TIFF do narzędzia tiffcrop, co prowadzi do wycieku pamięci i awarii aplikacji, co w konsekwencji skutkuje odmową usługi.

Podatność Cross Site Scripting (XSS) w phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze subcmd w komponencie index.php.

Podatność Cross Site Scripting (XSS) w skrypcie AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany atrybut title w komponencie index.php.

Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'cmd' w komponencie index.php.

Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'txt' w komponencie index.php.

Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany atak na parametr ID w komponencie index.php.

Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany ładunek w komponencie index.php.

W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.