Katalog podatności CVE

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia grup witryn, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia kont dostawców, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia lokalizacji (/dcim/locations/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia grup kontaktów (/tenancy/contact-groups/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia dostawców (/circuits/providers/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia grup najemców (/tenancy/tenant-groups/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia typów obwodów (/circuits/circuit-types/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia ról szaf rackowych (/dcim/rack-roles/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

Protokół Bramble Handshake (BHP) w Briar przed wersją 1.5.3 nie zapewnia bezpieczeństwa wstecznego, co pozwala podsłuchującym na odszyfrowanie ruchu sieciowego między dwoma kontami, jeśli później skompromitują oba konta.

Briar w wersjach przed 1.4.22 umożliwia atakującym fałszowanie wiadomości innych użytkowników w blogach, forach lub prywatnych grupach. Każda sfałszowana wiadomość musi być dokładną kopią autentycznej wiadomości wyświetlanej obok niej.

W Liferay Portal w wersjach od 7.4.3.48 do 7.4.3.76 oraz Liferay DXP w aktualizacjach od 48 do 76 istnieje podatność na ataki ReDoS poprzez wykorzystanie wyrażeń regularnych jako wzorców. Zdalni atakujący mogą wykorzystać tę lukę, aby zużyć nadmierną ilość zasobów serwera za pomocą odpowiednio skonstruowanych adresów URL.

W Liferay Portal 7.3.0 i wcześniejszych oraz Liferay DXP 7.2 i wcześniejszych, domyślna konfiguracja nie wymaga od użytkowników weryfikacji adresu e-mail, co pozwala zdalnym atakującym na tworzenie kont przy użyciu fałszywych adresów e-mail lub adresów, których nie kontrolują.

Moduł Dynamic Data Mapping w Liferay Portal 7.4.3.67 oraz Liferay DXP 7.4 aktualizacja 67 nie ogranicza pobierania plików Dokumentów i Mediów z formularza, co pozwala zdalnym atakującym na pobranie dowolnego pliku za pomocą spreparowanego adresu URL.

Podatność typu SQL injection w procesie aktualizacji dla SQL Server w Liferay Portal 7.3.1 do 7.4.3.17 oraz Liferay DXP 7.3 przed aktualizacją 6 i 7.4 przed aktualizacją 18, umożliwia atakującym wykonywanie dowolnych poleceń SQL poprzez nazwę indeksu klucza głównego tabeli bazy danych. Wykorzystanie tej podatności wymaga połączenia z innymi atakami.

W module Layout w Liferay Portal 7.3.4 do 7.4.3.68 oraz Liferay DXP 7.3 przed aktualizacją 24 i 7.4 przed aktualizacją 69 występuje podatność na atak typu cross-site scripting (XSS). Umożliwia ona zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w polu tekstowym `URL` fragmentu layoutu typu kontener.

W module Konta w Liferay Portal od wersji 7.4.3.21 do 7.4.3.62 oraz Liferay DXP 7.4 od aktualizacji 21 do 62 występuje podatność na ataki typu cross-site scripting (XSS). Atakujący mogą wstrzykiwać dowolne skrypty webowe lub HTML poprzez spreparowane dane w polach tekstowych użytkownika, takich jak Imię, Drugie Imię, Nazwisko lub Stanowisko.

W podatności CVE-2023-33942 występuje luka typu cross-site scripting (XSS) w selektorze artykułów widgetu Wyświetlanie Treści Web w Liferay Portal 7.4.3.50 oraz Liferay DXP 7.4 aktualizacja 50. Umożliwia ona zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w polu 'Tytuł' artykułu treści web.

Wiele podatności typu cross-site scripting (XSS) w klasie OAuth2ProviderApplicationRedirect modułu Plugin for OAuth 2.0 w Liferay Portal 7.4.3.41 do 7.4.3.52 oraz Liferay DXP 7.4 aktualizacja 41 do 52 pozwala zdalnym atakującym na wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez parametry (1) code lub (2) error.

W Liferay Portal w wersjach od 7.4.0 do 7.4.3.30 oraz w Liferay DXP 7.4 przed aktualizacją 31 występuje podatność typu Cross-site scripting (XSS) w aplikacjach zdalnych typu IFrame. Umożliwia to zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez URL IFrame aplikacji zdalnej.

Podatność XSS w widżecie Modified Facet w Liferay Portal od wersji 7.1.0 do 7.4.3.12 oraz Liferay DXP 7.1 przed poprawką 27, 7.2 przed poprawką 18, 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 9 umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek w etykiecie facetu.