Katalog podatności CVE

Podatność Cross Site Scripting (XSS) w kalendarzu Webmail w IceWarp 10.3.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML przez pole "p4".

Podatność SQL Injection w funkcji wyszukiwania na stronie tickets.php w osTicket 1.15.x umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez kombinację parametrów URL 'keywords' i 'topic_id'.

W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W vowifiservice występuje możliwe niedopatrzenie w sprawdzaniu uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.

W systemie zarządzania zapasami SourceCodester w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'page' w pliku index.php prowadzi do włączenia plików, co umożliwia zdalne przeprowadzenie ataku.

W DedeCMS w wersji 5.7.110 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /uploads/tags.php. Manipulacja argumentem tag_alias prowadzi do wstrzyknięcia SQL.

Wykryto krytyczną podatność w platformie zarządzania Byzoro Smart S45F Multi-Service Secure Gateway do wersji 20230822. Problem dotyczy nieznanej funkcjonalności pliku /importexport.php, co prowadzi do wstrzyknięcia SQL.

W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego przetwarzania pliku ?r=dashboard/user/export&uid=X. Manipulacja tym plikiem prowadzi do wstrzyknięcia SQL.

W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku ?r=diary/default/del komponentu Delete Logs Handler. Manipulacja tą podatnością prowadzi do ataku typu SQL injection.

W systemie IBOS OA 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanej części pliku ?r=email/api/delDraft&archiveId=0 w komponencie Delete Draft Handler. Manipulacja ta prowadzi do wstrzyknięcia SQL.

W platformie zarządzania Byzoro Smart S85F do wersji 20230820 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /sysmanage/updateos.php, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem 1_file_upload.

Niepoprawna walidacja certyfikatów w InvokeHTTP w Apache NiFi MiNiFi C++ w wersjach 0.13 do 0.14 umożliwia pośrednikowi przedstawienie sfałszowanego certyfikatu podczas negocjacji TLS. Właściwość Disable Peer Verification została domyślnie wyłączona, co skutkuje brakiem weryfikacji przy użyciu HTTPS.

Wersja 14.5 oprogramowania ProVide firmy Farsight Tech Nordic AB zawiera wiele podatności typu XSS (CWE-79), które mogą być wykorzystane przez użytkownika z uprawnieniami administratora.

Wtyczka Exifography w wersjach do 1.3.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Wtyczka Visualmodo Borderless w wersjach do 1.4.8 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników z uprawnieniami administratora.

Wtyczka Realwebcare WRC Pricing Tables w wersjach do 2.3.7 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Wtyczka WP OnlineSupport, Essential Plugin Audio Player with Playlist Ultimate w wersjach do 1.2.2 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.