Katalog podatności CVE

Craft CMS w wersjach od 5.7.0 do 5.9.20 zawiera podatność na masowe przypisanie atrybutów w akcji masowego duplikowania elementów. Atakujący, który może duplikować własne wpisy, może przesłać dowolne id przez parametr newAttributes, co prowadzi do nadpisania istniejącego wpisu ofiary.

Landray OA zawiera nieuwierzytelnioną podatność na wstrzykiwanie HQL, która pozwala atakującym na wykonywanie zapytań do encji Hibernate poprzez wstrzyknięcie złośliwej składni HQL do parametru uid w endpointcie wechatLoginHelper.do. Brak sanityzacji danych wejściowych w wyrażeniu filtru przekazywanym do metody findList() umożliwia wyodrębnienie poufnych danych, takich jak hashe haseł administratora, a przy odpowiednich uprawnieniach bazy danych – zapis plików i zdalne wykonanie kodu.

Podatność typu względnego przejścia ścieżki (relative path traversal) w opcji "keyhint" podczas parsowania pliku repomd.xml w bibliotece libzypp przed wersją 17.38.12. Atakujący mogący dostarczyć złośliwe repozytorium mogą wstrzykiwać lub nadpisywać pliki w systemie docelowym jako root.

W systemie Progress Flowmon ADS przed wersjami 12.5.6 i 13.0.5 istnieje podatność, która pozwala uwierzytelnionemu atakującemu z niskimi uprawnieniami na wysyłanie specjalnie spreparowanych żądań, co może prowadzić do nieautoryzowanego dostępu do danych aplikacji oraz ich modyfikacji.

W Progress Flowmon przed wersjami 12.5.9 i 13.0.11 uwierzytelniony użytkownik z niskimi uprawnieniami może spreparować żądanie podczas generowania pliku PDF, co prowadzi do wykonania operacji z uprawnieniami innego użytkownika. Może to skutkować nieautoryzowanym dostępem do wrażliwych danych i niezamierzonymi zmianami konfiguracji systemu.

Podatność Incorrect Authorization w UniFi Network Application umożliwia złośliwemu aktorowi z dostępem do sieci utrzymanie przywilejów po ich usunięciu, pod pewnymi warunkami.

Podatność SQL Injection w aplikacji UniFi Protect umożliwia atakującemu z dostępem do sieci i niskimi uprawnieniami eskalację uprawnień na urządzeniu hosta poprzez wstrzyknięcie złośliwego kodu SQL.

Podatność w aplikacji UniFi Talk umożliwia osobie atakującej z dostępem do sieci i niskimi uprawnieniami eskalację uprawnień poprzez niewłaściwą kontrolę dostępu.

Podatność w UniFi Network Application umożliwia eskalację uprawnień przez atakującego z dostępem do sieci i niskimi uprawnieniami, pod pewnymi warunkami. Problem wynika z nieprawidłowej kontroli dostępu.

Podatność Path Traversal w aplikacji UniFi Access umożliwia złośliwemu aktorowi z dostępem do sieci dostęp do plików na urządzeniu hosta.

Podatność w UniFi Network Application umożliwia osobie atakującej z dostępem do sieci i niskimi uprawnieniami eskalację uprawnień w aplikacji poprzez wykorzystanie nieprawidłowej kontroli dostępu.

Podatność SSRF w aplikacji UniFi Talk umożliwia atakującemu z dostępem do sieci wykonanie ataku DoS oraz ominięcie uwierzytelniania w wybranych punktach końcowych API.

Podatność w UniFi OS z aplikacją UniFi Protect umożliwia eskalację uprawnień na urządzeniu hosta. Atakujący z dostępem do sieci i niskimi uprawnieniami może wykorzystać nieprawidłową kontrolę dostępu.

Podatność Path Traversal w urządzeniach UniFi Protect Floodlight umożliwia osobie atakującej z dostępem do sieci odczyt plików na podatnym urządzeniu.

Podatność w UniFi OS wynika z błędnej konfiguracji mechanizmu CORS, co pozwala atakującemu nakłonić uwierzytelnionego użytkownika do odwiedzenia złośliwej strony i wykonania działań w systemie przy użyciu jego sesji.

Podatność w aplikacji UniFi Protect umożliwia atakującemu z dostępem do sieci, w określonych warunkach, ominięcie uwierzytelniania w kamerach UniFi Protect z powodu nieprawidłowej inicjalizacji.

Podatność w aplikacji UniFi Protect umożliwia osobie atakującej z dostępem do sieci ominięcie uwierzytelniania podczas strumieniowania danych z powodu nieprawidłowej kontroli dostępu.

Podatność w aplikacji UniFi Protect umożliwia osobie z dostępem do sieci ominięcie uwierzytelniania w wybranych punktach końcowych API z powodu nieprawidłowej kontroli dostępu.

Podatność typu Path Traversal w samodzielnie hostowanych instancjach UniFi Network Application umożliwia atakującemu z dostępem do sieci i wysokimi uprawnieniami eskalację uprawnień zapisu na urządzeniu hostującym.

Podatność w aplikacji UniFi Network Application umożliwia atakującemu z dostępem do sieci przeprowadzenie ataku typu Denial of Service (DoS) poprzez niewłaściwą walidację danych wejściowych.