База данных уязвимостей CVE

Budibase до версии 3.40.0 содержит уязвимость подделки межсайтовых запросов в конечной точке передачи ссылки чата, которая позволяет злоумышленникам привязать внешний идентификатор чата к учетной записи жертвы. Злоумышленники могут создать фишинговую …

luci-app-lxc содержит уязвимость несогласованности ACL, которая позволяет пользователям LuCI с низким уровнем привилегий, прошедшим проверку подлинности, получать доступ к внутренним маршрутам управления контейнерами без надлежащей проверки авторизации. Злоумышленники могут использовать …

luci-app-openvpn не может должным образом проверить параметр имя_экземпляра2 во время загрузки файла, что позволяет аутентифицированным пользователям выполнять обход пути и записывать произвольные файлы за пределами предполагаемого каталога. Злоумышленники могут загружать …

OpenWrt LuCI содержит слишком либеральное определение ACL в luci-mod-system-mounts, которое предоставляет доступ на запись в /etc/crontabs/root пользователям, предназначенным только для настройки монтирования. Аутентифицированные пользователи, имеющие только группу ACL конфигурации монтирования, …

filebrowser до 2.63.16 не может должным образом ограничить область действия и разрешения, когда самостоятельная регистрация включена с настройкой CreateUserDir по умолчанию. Злоумышленники, не прошедшие проверку подлинности, могут регистрировать учетные записи, …

AgenticSeek (commit fc242c7) содержит уязвимость удаленного выполнения кода без проверки подлинности, которая позволяет любому сетевому злоумышленнику выполнять произвольные команды, отправляя созданные запросы к незащищенной конечной точке API POST /query, привязанной …

Ранее вредоносный GOPROXY был способен подделать до двух тайлов sumdb, которые позволяли запрошенному модулю обойти проверку GOSUMDB и сохранить содержимое модуля, контролируемое злоумышленником, в локальном кеше модуля Go. Эта атака …

Вредоносная GOSUMDB была способна обслуживать произвольное содержимое модуля, не содержащееся в журнале прозрачности. Эта атака позволяет координирующим GOPROXY и GOSUMDB обслуживать содержимое вредоносного модуля клиента, которое невозможно обнаружить с помощью …

Сообщения рукопожатия, такие как KeyUpdate, всегда считаются обновляющими состояние, независимо от того, завершено рукопожатие или нет. В результате злонамеренный клиент может продолжать отправлять сообщения KeyUpdate, заставляя сервер бесконечно выполнять операции …

Ранее разрешение относительных путей, содержащих сегменты родительского каталога ('..'), выполняло преобразование строк и перезапись буфера на каждом шаге, что приводило к квадратичной временной сложности и большим затратам на выделение памяти. …