Katalog podatności CVE

XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowane URL-e. Wykorzystanie szablonu ponownego przesyłania pozwala na wykonanie złośliwego kodu, co może prowadzić do ujawnienia danych użytkowników.

XWiki Platform umożliwia użytkownikom fałszowanie adresów URL z ładunkiem, co pozwala na wstrzykiwanie JavaScriptu na stronę (XSS). Można wykorzystać szablon deletespace do przeprowadzenia ataku XSS, na przykład używając adresu URL: > xwiki/bin/deletespace/Sandbox/?xredirect=javascript:alert(document.domain).

Platforma XWiki ma podatność umożliwiającą wstrzyknięcie kodu JavaScript (XSS) poprzez sfałszowany URL. Użytkownicy mogą wykorzystać szablon przywracania do przeprowadzenia ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych.

XWiki Platform zawiera podatność na atak XSS, umożliwiając użytkownikom wstrzykiwanie kodu JavaScript poprzez sfałszowany URL. Wykorzystanie szablonu usuwania pozwala na przeprowadzenie ataku XSS, co może prowadzić do nieautoryzowanego dostępu do danych użytkowników.

W platformie XWiki występuje podatność na przechowywane ataki typu cross-site scripting (XSS), która może być wykorzystana przez użytkowników z prawami edycji. Wersje od 5.4.4 do przed 14.4.8, 14.10.4 i 15.0 są narażone na tę lukę.

XWiki Platform, od wersji 12.9-rc-1 do 14.4.8, 14.10.6 i 15.1, pozwala zalogowanym użytkownikom na dodawanie niebezpiecznych treści w polu imienia, co prowadzi do eskalacji uprawnień. Podatność została naprawiona w wersjach 14.4.8, 14.10.6 i 15.1.

XWiki Platform, popularna platforma wiki, ma lukę, która pozwala użytkownikom z prawami do przeglądania dokumentów na wykonanie kodu z prawami programistycznymi. Wersje od 2.40m-2 do przed 14.4.8, 14.10.4 i 15.0 są podatne na zdalne wykonanie kodu poprzez odpowiednio skonstruowany URL.

W XWiki Platform, od wersji 11.8-rc-1 do 14.4.8, 14.10.6 i 15.2, każdy zalogowany użytkownik może edytować konfigurację `Mail.MailConfig`. To pozwala na zmianę konfiguracji obfuskacji maili oraz przeglądanie i edytowanie ustawień wysyłania maili, w tym nazwy domeny SMTP i poświadczeń.

XWiki Platform w wersjach od 2.2.1 do 14.4.8, 14.10.5 oraz 15.1RC1 jest podatna na atak typu stored cross-site scripting (XSS). Użytkownicy mogą wprowadzać kod HTML do dokumentów, co pozwala na wykonanie nieautoryzowanych działań przez innych użytkowników, którzy odwiedzą te dokumenty.

W Fortinet FortiNAC w wersjach poniżej 7.2.1, 9.4.3, 9.2.8 oraz wszystkich wcześniejszych wersjach 8.x występuje podatność na deserializację niezaufanych danych. Atakujący może wykonać nieautoryzowany kod lub polecenia poprzez specjalnie przygotowane żądanie na porcie komunikacji międzyserwerowej.

Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.

W urządzeniu TP-Link TL-WR940N V4 odkryto podatność na przepełnienie bufora poprzez parametr ipStart w /userRpm/WanDynamicIpV6CfgRpm. Ta podatność umożliwia atakującym spowodowanie ataku typu Denial of Service (DoS) za pomocą odpowiednio skonstruowanego żądania GET.

Podatność CVE-2023-3326 dotyczy modułu pam_krb5, który uwierzytelnia użytkowników poprzez uruchomienie kinit z hasłem. W przypadku braku keytab na systemie, moduł ten ufa odpowiedziom z KDC, co może prowadzić do nieautoryzowanego dostępu.

Wersje 3.3.2 i 3.3.3 funadmin są podatne na niebezpieczne przesyłanie plików poprzez instalację wtyczek.

W Onlyoffice Community Server przed wersją 12.5.2 odkryto podatność na zdalne wykonanie kodu (RCE) w komponencie UploadProgress.ashx.

W Jeesite przed commitem 10742d3 odkryto podatność na wstrzyknięcie SQL poprzez komponent ${businessTable} w /act/ActDao.xml.

Podatność w SiLabs Unify Gateway 1.3.1 i wcześniejszych umożliwia nieautoryzowanemu atakującemu w zasięgu Z-Wave przepełnienie bufora stosu, co prowadzi do wykonania dowolnego kodu.

Projekt systemu rejestracji Sourcecodester V1.0 jest podatny na ataki SQL Injection (SQLI), co pozwala atakującemu na manipulację zapytaniami SQL wykonywanymi przez aplikację. Aplikacja nieprawidłowo waliduje dane wejściowe dostarczane przez użytkownika w polach nazwy użytkownika i hasła podczas procesu logowania.

W Apache Accumulo 2.1.0 występuje podatność związana z niewłaściwą autoryzacją, która może pozwolić na pomyślne uwierzytelnienie przy użyciu nieprawidłowych danych logowania. Użytkownicy powinni zaktualizować do wersji 2.1.1.

Oprogramowanie układowe Netgear R6250 w wersji 1.0.4.48 jest podatne na przepełnienie bufora po uwierzytelnieniu.