Katalog podatności CVE

Problem w langchain w wersji 0.0.64 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą parametru PALChain w metodzie exec Pythona.

W podatności CVE-2023-37245 występuje przepełnienie bufora w module pinctrl modemu. Sukcesywne wykorzystanie tej podatności może wpłynąć na integralność i dostępność modemu.

Podatność w module atcmdserver umożliwia przechwytywanie poleceń z modemu. Atakujący mogą wykorzystać tę podatność do przepisania pamięci NVRAM lub ułatwienia wykorzystania innych podatności.

Podatność związana z brakiem weryfikacji długości wejścia w rozproszonym systemie plików. Sukcesywne wykorzystanie tej podatności może prowadzić do odczytu poza przydzielonym zakresem.

W aplikacji webowej MOVEit Transfer przed wersją 2020.1.11 (12.1.11), 2021.0.9 (13.0.9), 2021.1.7 (13.1.7), 2022.0.7 (14.0.7), 2022.1.8 (14.1.8) oraz 2023.0.4 (15.0.4) zidentyfikowano podatność na wstrzykiwanie SQL. Atakujący mógłby wykorzystać tę podatność do nieautoryzowanego dostępu do bazy danych MOVEit Transfer.

Wersje protobuf.js (protobufjs) od 6.10.0 do 7.x przed 7.2.5 są podatne na zanieczyszczenie prototypu. Atakujący może wykorzystać kontrolowaną przez użytkownika wiadomość protobuf do modyfikacji prototypu Object.prototype, co prowadzi do dodawania i nadpisywania danych oraz funkcji.

Podatność w zarządzaniu kluczami w systemie. Udana eksploitacja tej podatności może wpłynąć na dostępność i integralność usług.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.6.7 nie zapobiega tworzeniu kont użytkowników z dowolnymi uprawnieniami, co umożliwia atakującym tworzenie kont administratorów według własnego uznania.

W LangChain przed wersją 0.0.236 występuje problem, który pozwala atakującemu na wykonanie dowolnego kodu. Możliwość wykorzystania funkcji os.system, exec lub eval w kodzie Pythona stwarza poważne zagrożenie.

W podatności CVE-2023-35797 występuje niewłaściwa walidacja danych wejściowych w Apache Airflow Hive Provider przed wersją 6.1.1. Umożliwia to ominięcie zabezpieczeń i zdalne wykonanie kodu (RCE) poprzez parametr principal.

OpenTSDB, otwartoźródłowa, rozproszona baza danych szeregów czasowych, jest podatna na zdalne wykonanie kodu poprzez zapisanie kontrolowanego przez użytkownika wejścia do pliku konfiguracyjnego Gnuplot i uruchomienie Gnuplot z wygenerowaną konfiguracją.

W repozytorium GitHub fossbilling/fossbilling przed wersją 0.5.3 występuje podatność na atak typu SQL Injection.

XWiki Platform pozwala użytkownikom z prawami edycji na modyfikację wszystkich stron w przestrzeni `CKEditor`, co może prowadzić do usunięcia dokumentów technicznych oraz edytowania konfiguracji JavaScript CKEditor, co skutkuje trwałym XSS.

W rozszerzeniu CheckUser dla MediaWiki do wersji 1.39.3 odkryto problem, który powoduje, że w pewnych sytuacjach próba zablokowania użytkownika kończy się niepowodzeniem po tym, jak przeglądarka zawiesi się na chwilę, co skutkuje komunikatem o błędzie DBQueryDisconnectedError.

Niektóre produkty drukarskie HP LaserJet Pro mogą być podatne na zdalne wykonanie kodu oraz podniesienie uprawnień poprzez atak typu Server-Side Request Forgery (SSRF) wykorzystujący model zdarzeń usługi internetowej.

Wtyczka Web3 – Crypto wallet Login & NFT token gating dla WordPress jest podatna na obejście uwierzytelnienia w wersjach do 2.6.0 włącznie. Problem wynika z nieprawidłowego sprawdzania uwierzytelnienia w funkcji 'hidden_form_data'.

Wtyczka BookIt dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.3.7 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika podczas rezerwacji wizyty przez wtyczkę.

XWiki Platform umożliwia atakującym wstrzykiwanie składni XWiki i kodu Velocity poprzez edytowanie dokumentów z zestawem ikon, co prowadzi do zdalnego wykonania kodu. Różne wektory ataku, w tym wykorzystanie zestawu ikon w HTML, mogą być użyte do przeprowadzenia ataku.

XWiki Platform pozwala użytkownikom edytować swoje profile i ustawienia powiadomień, co umożliwia wykonanie dowolnych makr skryptowych, w tym Groovy i Python, prowadzących do zdalnego wykonania kodu. Wersje 14.10.6 i 15.2RC1 zawierają poprawki tej podatności.

Podatność w XWiki Platform umożliwia zdalne wykonanie kodu nawet po aktualizacji do wersji zawierającej poprawki. Problem występuje, gdy stare wersje dokumentów, które zawierały luki, nie są usuwane z historii, co pozwala na ich ponowne wykorzystanie.