Dotkliwość: Średnia

Błąd autoryzacji w MISP pozwala uwierzytelnionemu użytkownikowi na dostęp do zastrzeżonych danych.

Refleksyjna podatność XSS w MISP umożliwia atakującemu wykonanie dowolnego JavaScriptu.

Wstrzyknięcie niebezpiecznego URL w MISP umożliwia wykonanie skryptu po stronie klienta.

Nieautoryzowany dostęp do endpointu w Oppia umożliwia enumerację uprzywilejowanych kont i ról.

CRMEB through 6.0.0 fails to validate message ownership in the edit_message handler of MessageSystemController.php, allowing authenticated users to modify arbitrary system inbox messages. Attackers can update any message's columns including is_del, look, and uid to delete, mark read, or reassign…

A security flaw has been discovered in ILIAS up to 9.21/10.9/11.2. This affects the function ilObjMediaObjectGUI::uploadMultipleSubtitleFileObject of the file Services/Repository/Service/Resources/ZipAdapter.php of the component MediaPool. The manipulation results in unrestricted upload. The…

Słabość w parsowaniu JSON w MongoDB C++ Driver umożliwia odczyt pamięci poza buforem.

Błąd w Rancher Manager pozwala na wstrzyknięcie obcego identyfikatora do konta użytkownika.

Wstrzyknięcie poleceń w Dell SmartFabric OS10 umożliwia zdalne wykonanie kodu przez atakującego.

Wstrzyknięcie JavaScript w pfSense umożliwia atakującym wykonanie kodu w przeglądarkach użytkowników.

pfSense Plus before 26.07 and CE before 2.9.0 allow authenticated users with the Firewall: Rules: Edit privilege to inject arbitrary JavaScript via the descr parameter in /firewall_rules_edit.php. The firewall rule description is stored in the pfSense XML configuration with only backslash-escaping…

Wstrzyknięcie JavaScript w pfSense umożliwia atak na użytkowników przeglądających reguły zapory.

Wstrzyknięcie poleceń w Dell SmartFabric OS10 umożliwia zdalne wykonanie kodu.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Kriesi Enfold allows Reflected XSS. This issue affects Enfold: from n/a through 8.0.

Wstrzyknięcie zapytania w n8n umożliwia nieautoryzowany odczyt danych z kolekcji.

W n8n przed wersją 1.123.73 umożliwiono atak SSRF przez niezweryfikowane dane w Gmail.

W n8n występuje luka ujawniająca dane uwierzytelniające, umożliwiająca odczytanie tajnych informacji.

Wersje n8n przed 2.34.1 mają podatność na SSRF, co umożliwia dostęp do wewnętrznych adresów.

Brak autoryzacji w n8n pozwala uwierzytelnionym użytkownikom na dostęp do danych projektów.

AVideo through commit c91b5975d contains a cross-site request forgery vulnerability in removePoster.php that lacks forbidIfNotPost or forbidIfInvalidToken checks. Attackers can craft malicious image tags to delete authenticated victims' live poster and thumbnail files via GET requests.

AVideo through commit c91b5975d contains a cross-site request forgery vulnerability in plugin/Live/saveLive.php that lacks forbidIfNotPost and forbidIfInvalidToken protections. Attackers can craft malicious image tags to overwrite authenticated streamers' RTMP keys, passwords, and titles,…

Brak walidacji referencji poświadczeń w n8n umożliwia eksfiltrację danych uwierzytelniających.

WWBN AVideo fails to properly validate access controls on the public channel page, allowing unauthenticated visitors to view unlisted and group-restricted videos through hardcoded visibility flags and an undefined property. Attackers can access the channel endpoint to retrieve sensitive video…

WWBN AVideo contains a broken access control vulnerability in the unauthenticated feed/index.php endpoint that disables per-video visibility checks when a program_id parameter is supplied. Attackers can enumerate playlist identifiers and retrieve unlisted and group-restricted videos by requesting…

AVideo through commit c91b5975d contains a reflected cross-site scripting vulnerability in videoEmbeded.php that echoes the link parameter inside an HTML comment with zero escaping. Attackers can close the comment with --> and inject arbitrary JavaScript that executes when victims visit the…