Katalog podatności CVE

W systemie śledzenia pojazdów Yontem Informatics występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji przed 8.

SmartBPM.NET zawiera podatność polegającą na używaniu zakodowanego na sztywno klucza uwierzytelniającego. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność, aby uzyskać dostęp do systemu z uprawnieniami zwykłego użytkownika, co pozwala na odczyt danych aplikacji oraz wykonywanie procesów składania i zatwierdzania.

SmartSoft SmartBPM.NET zawiera podatność związaną z używaniem zakodowanego na sztywno klucza maszyny. Nieautoryzowany zdalny atakujący może wykorzystać ten klucz do wysyłania zserializowanych ładunków do serwera w celu wykonania dowolnego kodu i zakłócenia usługi.

Mod CC: Tweaked dla Minecrafta przed wersjami 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3 oraz 1.16.5-1.101.3 nie blokuje domyślnie punktów końcowych API usług metadanych w popularnych chmurach, takich jak AWS, GCP i Azure. To umożliwia graczom dostęp do wrażliwych informacji, co może prowadzić do eskalacji uprawnień na poziomie dostawcy chmury.

Mod OpenComputers do Minecraft ma lukę, która pozwala graczom uzyskać dostęp do wrażliwych informacji z serwisów metadanych chmurowych, gdy funkcja Karty Internetowej jest włączona. Dotyczy to wersji od 1.2.0 do 1.8.3 w domyślnych konfiguracjach.

W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr command w funkcji setTracerouteCfg.

W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ip w funkcji setDiagnosisCfg.

W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr admuser w funkcji setPasswordCfg.

W urządzeniu TOTOLINK A3300R w wersji V17.0.0cu.557_B20221024 zidentyfikowano podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując parametr lang w funkcji setLanguageCfg.

W TravianZ w wersjach 8.3.4 i 8.3.3 występuje nieprawidłowa kontrola dostępu w skrypcie instalacyjnym, co pozwala atakującemu na nadpisanie konfiguracji serwera oraz wstrzyknięcie kodu PHP.

W TravianZ w wersjach 8.3.4 i 8.3.3 występuje podatność związana z używaniem kryptograficznie niebezpiecznego generatora liczb losowych w funkcji resetowania hasła. Umożliwia to atakującemu zgadywanie parametrów resetowania hasła i przejęcie kont użytkowników.

W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr FileName w funkcji setUploadSetting.

W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ussd w funkcji setUssd.

W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr FileName w funkcji UploadFirmwareFile.

W urządzeniu TOTOLINK LR350 w wersji V9.3.5u.6369_B20220309 odkryto podatność na wstrzykiwanie poleceń poprzez parametr hostname w funkcji setOpModeCfg.

W urządzeniu Tenda AC10 w wersji v15.03.06.26 odkryto podatność na wstrzykiwanie poleceń poprzez parametr mac w funkcji formWriteFacMac.

PiiGAB M-Bus zawiera twardo zakodowane dane uwierzytelniające, które są używane do autoryzacji.

Mastodon, serwer społecznościowy oparty na ActivityPub, ma podatność, która pozwala atakującym na tworzenie i nadpisywanie dowolnych plików w systemie poprzez starannie przygotowane pliki multimedialne. Dotyczy to wersji od 3.5.0 do 3.5.8 oraz 4.0.0 do 4.1.2.

Mastodon, serwer społecznościowy oparty na ActivityPub, ma lukę, która pozwala atakującym na obejście sanitizacji HTML przy użyciu spreparowanych danych oEmbed. To umożliwia wstrzykiwanie dowolnego HTML do kart podglądu oEmbed, co stwarza wektor ataku XSS.