Katalog podatności CVE

Podatność w produkcie Oracle Commerce Guided Search / Oracle Commerce Experience Manager (komponent Forge) w wersji 11.4.0. Trudna do wykorzystania podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na nieautoryzowany dostęp do krytycznych danych oraz częściowy DoS.

Podatność w produkcie Oracle Process Manufacturing Intelligence (komponent Internal Operations) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez Oracle Net może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla produktu.

Podatność w produkcie Oracle Field Service (komponent Internal Operations) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może wykorzystać podatność, wymagana jest interakcja człowieka, a atak może wpłynąć na inne produkty (zmiana zakresu). Skutkiem może być nieautoryzowana modyfikacja, wstawianie lub usuwanie danych oraz nieautoryzowany odczyt części danych.

Podatność w produkcie Oracle Application Object Library (komponent Core) w wersjach 12.2.3-12.2.15. Niskouprzywilejowany atakujący z dostępem sieciowym przez HTTP może uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych dla produktu.

Podatność w produkcie Oracle Field Service z pakietu Oracle E-Business Suite (komponent: Internal Operations). Dotknięte wersje to 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami może przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w Oracle Field Service.

Podatność w produkcie Oracle Forms z Oracle Fusion Middleware (komponent: Forms Services, C/S, Charmode). Dotknięte wersje to 12.2.1.19.0 i 14.1.2.0.0. Nieuwierzytelniony atakujący może przez HTTP uzyskać nieautoryzowany odczyt podzbioru danych dostępnych w Oracle Forms.

Podatność w produkcie Oracle Forms z Oracle Fusion Middleware (komponent: Forms Services, C/S, Charmode). Dotknięte wersje to 12.2.1.19.0 i 14.1.2.0.0. Atakujący z wysokimi uprawnieniami może przez HTTP dokonywać nieautoryzowanych modyfikacji danych oraz spowodować całkowitą odmowę usługi (DOS).

Podatność w produkcie Siebel CRM Cloud Applications z Oracle Siebel CRM (komponent: Siebel Cloud Manager). Dotknięte wersje to 22.3-26.7. Atakujący z niskimi uprawnieniami może przez HTTP dokonywać nieautoryzowanych aktualizacji, wstawień, usunięć oraz odczytu części danych, a atak może wpływać na inne produkty (zmiana zakresu).

Podatność w produkcie Oracle HR Intelligence z Oracle E-Business Suite (komponent: Internal Operations). Dotknięte wersje to 12.2.3-12.2.15. Atakujący z niskimi uprawnieniami może (przy trudnych warunkach) przez HTTP dokonywać nieautoryzowanych modyfikacji danych oraz spowodować całkowitą odmowę usługi (DOS).

Concrete CMS przed wersją 9.5.3 nieprawidłowo neutralizował dostarczony przez użytkownika niestandardowy format daty podczas renderowania wiadomości konwersacji, co prowadziło do odbitego cross-site scripting (XSS). Atakujący mógł wykonać dowolny JavaScript w przeglądarce użytkownika, który został nakłoniony do wysłania spreparowanego żądania POST do punktu końcowego widoku konwersacji. Brak tokena CSRF ułatwiał dostarczenie ładunku przez automatycznie wysyłane żądanie POST z innej domeny bez uwierzytelnienia.

Podatność w lokalnej usłudze webowej DYMO Connect Desktop firmy Newell Brands. Endpoint LoadImageAsPngBase64 nie waliduje odpowiednio ścieżki pliku, co pozwala na odczyt dowolnych plików graficznych z systemu plików poza zamierzonym zakresem. Poprawka w wersji 1.6.2 ogranicza dostęp tylko po rozszerzeniu, nie po katalogu – ryzyko odczytu plików z dozwolonym rozszerzeniem pozostaje.

Podatność w bramach HPE Networking EdgeConnect SD-WAN pozwala nieuwierzytelnionemu atakującemu z sąsiedztwa na podgląd części zawartości pamięci systemowej. Udane wykorzystanie może ujawnić informacje o wewnętrznych usługach i procesach, zwiększając ryzyko nieautoryzowanego dostępu i eskalacji uprawnień w połączeniu z innymi podatnościami.

Podatność w punkcie API orchestratora HPE Networking EdgeConnect SD-WAN pozwala nieuwierzytelnionemu zdalnemu atakującemu na uzyskanie wrażliwych informacji. Udane wykorzystanie może ujawnić szczegóły konfiguracji związane z bezpieczeństwem oraz status funkcji zabezpieczeń, co może ułatwić dalsze ataki.

Podatność przepełnienia bufora w punkcie API bram HPE Networking EdgeConnect SD-WAN. Udane wykorzystanie może pozwolić uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administratora na wykonanie dowolnych poleceń w systemie operacyjnym.

Podatność w interfejsie zarządzania opartym na sieci Web w orchestratorze EdgeConnect SD-WAN pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego skryptu w przeglądarce ofiary w kontekście dotkniętego interfejsu. Udane wykorzystanie może pozwolić na dostęp do wrażliwych informacji, wpływając na poufność i integralność danych.

Podatność przepełnienia bufora w interfejsie zarządzania opartym na sieci Web w bramach HPE Networking EdgeConnect SD-WAN. Uwierzytelniony atakujący z uprawnieniami administracyjnymi może spowodować odmowę usługi, co może zakłócić działanie systemu i doprowadzić do niestabilnego stanu.

Podatność w systemie operacyjnym bram HPE Networking EdgeConnect SD-WAN. Uwierzytelniony lokalny atakujący może spowodować odmowę usługi, co może zakłócić działanie systemu i doprowadzić do niestabilnego stanu.

Podatność w punkcie końcowym API bram HPE Networking EdgeConnect SD-WAN. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wrażliwych informacji, które mogą być wykorzystane do dalszego dostępu do usług sieciowych.

Podatności w bramach HPE Networking EdgeConnect SD-WAN mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na spowodowanie odmowy usługi, co może przerwać normalne działanie dotkniętej usługi.

Podatność przepełnienia bufora w usłudze systemowej w systemie operacyjnym bram HPE Networking EdgeConnect SD-WAN. Nieuwierzytelniony atakujący z sąsiedztwa może spowodować odmowę usługi, co może doprowadzić do awarii usługi i tymczasowego zakłócenia działania sieci.