Katalog podatności CVE

IBM WebSphere Application Server Liberty w wersjach od 22.0.0.13 do 23.0.0.7 jest podatny na atak typu denial of service, spowodowany wysłaniem specjalnie przygotowanego żądania. Zdalny atakujący może wykorzystać tę podatność do nadmiernego zużycia zasobów pamięci serwera.

W systemie plików journaling (JFS) w jądrze Linux znaleziono błąd dereferencji wskaźnika NULL w funkcji dbFree. Problem ten może umożliwić lokalnemu atakującemu spowodowanie awarii systemu z powodu braku odpowiedniej kontroli poprawności.

Oprogramowanie układowe NPort IAW5000A-I/O w wersji v2.2 i wcześniejszych zawiera podatność na twardo zakodowane poświadczenia, co stwarza potencjalne ryzyko dla bezpieczeństwa i integralności urządzenia. Obecność twardo zakodowanego klucza może umożliwić manipulację oprogramowaniem układowym.

Wtyczka Favorite View w Jenkinsie w wersji 5.v77a_37f62782d i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym dodawanie lub usuwanie widoków z zakładki ulubionych widoków innego użytkownika.

Wtyczka Jenkins Docker Swarm w wersji 1.11 i wcześniejszych nie ucieka wartości zwracanych z Dockera przed ich wstawieniem do widoku Dashboard Docker Swarm, co prowadzi do podatności na przechowywane ataki XSS.

Wtyczka Gogs dla Jenkins w wersji 1.0.15 i wcześniejszych nieprawidłowo inicjalizuje opcję zabezpieczającą swój punkt końcowy webhook, co pozwala nieautoryzowanym atakującym na uruchamianie zadań budowy.

Punkt końcowy webhooka w wtyczce Gogs dla Jenkins w wersji 1.0.15 i wcześniejszych ujawnia nieautoryzowanym atakującym informacje o istnieniu zadań w swoim wyjściu.

Wtyczka Jenkins Maven Artifact ChoiceListProvider (Nexus) w wersji 1.14 i wcześniejszych nie ustawia odpowiedniego kontekstu dla wyszukiwania poświadczeń, co pozwala atakującym z uprawnieniami Item/Configure na dostęp do poświadczeń, do których nie mają prawa.

Wtyczka Jenkins Shortcut Job w wersji 0.4 i wcześniejszych nie zabezpiecza URL przekierowania skrótu, co prowadzi do podatności na przechowywane ataki typu cross-site scripting (XSS), które mogą być wykorzystywane przez atakujących mogących konfigurować zadania skrótu.

Wtyczka Delphix dla Jenkins w wersji 3.0.2 i wcześniejszych nie ustawia odpowiedniego kontekstu dla wyszukiwania poświadczeń, co umożliwia atakującym z uprawnieniami Overall/Read dostęp do poświadczeń, do których nie mają prawa.

Brak weryfikacji uprawnień w wtyczce Delphix dla Jenkins w wersji 3.0.2 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read enumerację identyfikatorów poświadczeń przechowywanych w Jenkins.

Wtyczka uwierzytelniania Tuleap dla Jenkins w wersji 1.1.20 i wcześniejszych wykorzystuje funkcję porównania, która nie działa w stałym czasie podczas walidacji tokena uwierzytelniającego. To umożliwia atakującym zastosowanie metod statystycznych do uzyskania ważnego tokena uwierzytelniającego.

Wtyczka Jenkins Flaky Test Handler w wersji 1.2.2 i wcześniejszych nie zabezpiecza zawartości testów JUnit wyświetlanych w interfejsie Jenkins, co prowadzi do podatności na przechowywane ataki XSS.

Wtyczka Jenkins Folders w wersji 6.846.v23698686f0f6 i wcześniejszych wyświetla komunikat o błędzie zawierający absolutną ścieżkę do pliku dziennika, gdy próbuje uzyskać dostęp do dziennika skanowania folderu organizacji, jeśli brak jest dostępnych dzienników.

Wtyczka Jenkins Folders w wersji 6.846.v23698686f0f6 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym kopiowanie widoku wewnątrz folderu.

W Netlify CMS w wersji 2.10.192 występuje podatność typu Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze body funkcji nowego posta.

W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje niezweryfikowana zmiana hasła, co może prowadzić do nieautoryzowanego dostępu.

W aplikacji 'Rikunabi NEXT' na Androida przed wersją 11.5.0 występuje niewłaściwa autoryzacja w obsłudze niestandardowego schematu URL, co pozwala złośliwemu zamiarowi na skierowanie aplikacji do dostępu do dowolnej strony internetowej.

Wtyczka WP Remote Users Sync dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich dodawanie z powodu braku weryfikacji uprawnień w funkcjach 'refresh_logs_async' w wersjach do 1.2.11 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi przeglądanie logów.

Brak szyfrowania w znaczniku RFID zamka Etekcity 3-w-1 Smart Door Lock v1.0 umożliwia atakującym stworzenie sklonowanego znacznika poprzez krótką fizyczną bliskość do oryginalnego urządzenia.