Katalog podatności CVE

Wtyczka do rezerwacji biletów autobusowych z rezerwacją miejsc dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametry 'tab_date' i 'tab_date_r' w wersjach do 5.2.3 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

W GitLab zidentyfikowano problem, który dotyczy wszystkich wersji przed 16.0.8, wersji od 16.1 do 16.1.3 oraz wersji od 16.2 do 16.2.2. Główna gałąź repozytorium o specjalnie zaprojektowanej nazwie umożliwia atakującemu tworzenie repozytoriów z złośliwym kodem.

W GitLab EE, w wersjach od 15.11 do przed 16.2.2, odkryto problem, który pozwala atakującemu na zwiększenie zużycia zasobów, co prowadzi do ataku typu DoS.

W GitLab EE zidentyfikowano problem, który dotyczy wszystkich wersji od 14.3 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Tokeny dostępu mogły być rejestrowane podczas zapytań do określonego punktu końcowego.

W GitLab CE/EE zidentyfikowano problem, który dotyczy wszystkich wersji od 16.1 do 16.1.3 oraz od 16.2 do 16.2.2. Nieprawidłowa wartość 'start_sha' na stronie żądań scalania może prowadzić do odmowy usługi, ponieważ zakładka Zmiany nie ładowałaby się.

W GitLab CE/EE zidentyfikowano problem dotyczący podatności na refleksyjny XSS, który występuje w wersjach od 10.0 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Atakujący mógł wykorzystać tę podatność podczas tworzenia określonych diagramów PlantUML, co pozwalało na wykonywanie dowolnych działań w imieniu ofiar.

W GitLab odkryto problem, który dotyczy wszystkich wersji od 8.10 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. W określonych okolicznościach użytkownik importujący projekt 'z eksportu' mógł uzyskać dostęp do niepowiązanych plików poprzez przesłanie specjalnie przygotowanego pliku.

W klasie MenuController w jeesite w wersji 1.2.6 występuje problem w funkcji usuwania, który pozwala uwierzytelnionym atakującym na dowolne usuwanie menu utworzonego przez Administratora.

Podatność typu Cross Site Scripting w e107 w wersji 2.3.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję opisu w projekcie SEO.

Niewystarczająca walidacja nieufnych danych wejściowych w motywach w Google Chrome przed wersją 115.0.5790.98 umożliwiła zdalnemu atakującemu potencjalne dostarczenie złośliwej treści do użytkownika za pośrednictwem spreparowanego adresu URL tła.

Niewystarczająca walidacja nieufnych danych wejściowych w Chromad w Google Chrome na ChromeOS przed wersją 115.0.5790.131 umożliwiła zdalnemu atakującemu wykonanie dowolnego kodu za pomocą spreparowanego skryptu powłoki.

Nieodpowiednia implementacja funkcji Autofill w Google Chrome przed wersją 115.0.5790.98 umożliwiła zdalnemu atakującemu zafałszowanie interfejsu zabezpieczeń za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja powiadomień w Google Chrome przed wersją 115.0.5790.98 umożliwiała zdalnemu atakującemu fałszowanie treści powiadomień multimedialnych za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja w Custom Tabs w Google Chrome na Androidzie przed wersją 115.0.5790.98 umożliwiła zdalnemu atakującemu wyciek danych między źródłami za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja w zapytaniach o uprawnienia Web API w Google Chrome przed wersją 115.0.5790.98 umożliwiała zdalnemu atakującemu zafałszowanie interfejsu użytkownika zabezpieczeń za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja funkcji Picture In Picture w Google Chrome przed wersją 115.0.5790.98 umożliwiała zdalnemu atakującemu potencjalne podrobienie zawartości Omnibox (pasa adresu) za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja instalacji aplikacji webowych w Google Chrome przed wersją 115.0.5790.98 umożliwiała zdalnemu atakującemu potencjalne sfałszowanie zawartości Omnibox (pasa adresu) za pomocą spreparowanej strony HTML.

W systemie oceny wykładowców opartym na PHP/MySQLi w wersji 1.0 występuje podatność typu Cross Site Scripting, która pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze strony.

W systemie PHPJabbers Catering w wersji 1.0 odkryto podatność typu cross-site scripting (XSS) w komponencie /index.php?controller=pjAdmin&action=pjActionForgot.

W aplikacji PHPJabbers Time Slots Booking Calendar w wersji 3.3 występuje podatność typu Cross Site Scripting (XSS) w parametrze 'theme' pliku preview.php.