База данных уязвимостей CVE

streama содержит небезопасную уязвимость прямой ссылки на объект в ViewingStatusController, которая позволяет прошедшим проверку подлинности пользователям читать и удалять записи статуса просмотра других пользователей. Злоумышленники могут перечислять прогресс просмотра всех …

Budibase до версии 3.40.0 не может редактировать учетные данные источника данных, хранящиеся в типизированных полях STRING, что позволяет прошедшим проверку подлинности пользователям читать строки подключения MongoDB и закрытые ключи Firebase …

Версии Budibase до 3.40.0 содержат обход авторизации/аутентификации в конечной точке PUT /api/global/users/tenant/owner (changeTenantOwnerEmail). В самостоятельных экземплярах (набор SELF_HOSTED или DISABLE_ACCOUNT_PORTAL) промежуточное программное обеспечение cloudRestricted не работает, а маршрут защищен только …

Budibase до версии 3.40.0 содержит уязвимости подделки запросов на стороне сервера при импорте запросов OpenAPI и выполнении запросов REST, которые позволяют прошедшим проверку подлинности пользователям на уровне сборщика обходить защиту …

Budibase до версии 3.40.0 содержит уязвимость SQL-инъекции в поиске строк после записи соединителя источника данных Oracle, из-за которой не удается экранировать имена таблиц в идентификаторах. Злоумышленники с разрешением на запись …

Budibase до версии 3.40.0 содержит уязвимость SQL-инъекции без аутентификации в автоматизациях, запускаемых через веб-перехватчик, с шагами EXECUTE_QUERY. Злоумышленники могут отправлять контролируемый злоумышленником JSON в конечную точку триггера веб-перехватчика для внедрения …

Budibase до версии 3.40.0 не может должным образом очистить ключи объекта S3, что позволяет аутентифицированным сборщикам загружать файлы с последовательностями обхода, которые сохраняются во время экспорта. Злоумышленники могут создавать имена …

Budibase до версии 3.40.0 содержит уязвимость подделки межсайтовых запросов в конечной точке передачи ссылки чата, которая позволяет злоумышленникам привязать внешний идентификатор чата к учетной записи жертвы. Злоумышленники могут создать фишинговую …

luci-app-lxc содержит уязвимость несогласованности ACL, которая позволяет пользователям LuCI с низким уровнем привилегий, прошедшим проверку подлинности, получать доступ к внутренним маршрутам управления контейнерами без надлежащей проверки авторизации. Злоумышленники могут использовать …

luci-app-openvpn не может должным образом проверить параметр имя_экземпляра2 во время загрузки файла, что позволяет аутентифицированным пользователям выполнять обход пути и записывать произвольные файлы за пределами предполагаемого каталога. Злоумышленники могут загружать …