What's new arround internet
Last one

Src Date (GMT) Titre Description Tags Stories Notes
CVE.webp 2023-10-17 21:15:46 CVE-2023-43794 (lien direct) NOCODB est une alternative aérienne open source.Les versions affectées de NOCODB contiennent une vulnérabilité d'injection SQL, qui permet un attaquant authentifié avec un accès au créateur pour interroger la base de données sous-jacente.En fournissant une charge utile spécialement conçue à l'attaquant donné, un attaquant peut injecter des requêtes SQL arbitraires à exécuter.Comme il s'agit d'une injection SQL aveugle, un attaquant peut avoir besoin d'utiliser des charges utiles basées sur le temps qui incluraient une fonction pour retarder l'exécution pendant un nombre donné de secondes.Le temps de réponse indique si le résultat de l'exécution de la requête était vraie ou fausse.Selon le résultat, la réponse HTTP sera renvoyée après un nombre donné de secondes, indiquant vrai ou immédiatement, indiquant false.De cette façon, un attaquant peut révéler les données présentes dans la base de données.Cette vulnérabilité a été traitée dans la version 0.111.0.Il est conseillé aux utilisateurs de mettre à niveau.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.Ce problème est également suivi comme `GHSL-2023-141`.
Nocodb is an open source Airtable alternative. Affected versions of nocodb contain a SQL injection vulnerability, that allows an authenticated attacker with creator access to query the underlying database. By supplying a specially crafted payload to the given an attacker can inject arbitrary SQL queries to be executed. Since this is a blind SQL injection, an attacker may need to use time-based payloads which would include a function to delay execution for a given number of seconds. The response time indicates, whether the result of the query execution was true or false. Depending on the result, the HTTP response will be returned after a given number of seconds, indicating TRUE, or immediately, indicating FALSE. In that way, an attacker can reveal the data present in the database. This vulnerability has been addressed in version 0.111.0. Users are advised to upgrade. There are no known workarounds for this vulnerability. This issue is also tracked as `GHSL-2023-141`.		 Vulnerability
CVE.webp 2023-10-17 20:15:10 CVE-2023-45951 (lien direct) Lylme_spage v1.7.0 a été découvert qu'il contenait une vulnérabilité d'injection SQL via le paramètre $ userIp à function.php.
lylme_spage v1.7.0 was discovered to contain a SQL injection vulnerability via the $userip parameter at function.php.		 Vulnerability
CVE.webp 2023-10-17 20:15:10 CVE-2023-45803 (lien direct) UrLlib3 est une bibliothèque client HTTP conviviale pour Python.Urllib3 auparavant ne supprimerait pas le corps de la demande HTTP lorsqu'une réponse de redirection HTTP en utilisant le statut 301, 302 ou 303 après que la demande a changé sa méthode de celle qui pourrait accepter un corps de demande (comme «post») à «Get»comme l'exige les RFC HTTP.Bien que ce comportement ne soit pas spécifié dans la section des redirections, il peut être déduit en rassemblant des informations à partir de différentes sections et nous avons observé le comportement dans d'autres implémentations de client HTTP majeures comme Curl et les navigateurs Web.Parce que la vulnérabilité exige qu'un service de confiance précédemment soit compromis afin d'avoir un impact sur la confidentialité, nous pensons que l'exploitabilité de cette vulnérabilité est faible.De plus, de nombreux utilisateurs ne mettent pas des données sensibles dans les corps de demande HTTP, si c'est le cas, cette vulnérabilité n'est pas exploitante.Les deux conditions suivantes doivent être vraies pour être affectées par cette vulnérabilité: 1. Utilisation d'Urllib3 et soumettre des informations sensibles dans le corps de la demande HTTP (tels que les données de formulaire ou JSON) et 2. Le service d'origine est compromis et commence à rediriger à l'aide de 301,302, ou 303 à un pair malveillant ou le service redirigé est compromis.Ce problème a été résolu dans les versions 1.26.18 et 2.0.7 et les utilisateurs sont invités à mettre à jour pour résoudre ce problème.Les utilisateurs incapables de mettre à jour doivent désactiver les redirections pour les services qui ne s'attendent pas à répondre avec des redirections avec `redirection = false` et désactiver les redirections automatiques avec` redirection = false` et gérer 301, 302 et 303 redirects manuellement en éliminant le HTTP 301, 302 et 303demander le corps.
urllib3 is a user-friendly HTTP client library for Python. urllib3 previously wouldn\'t remove the HTTP request body when an HTTP redirect response using status 301, 302, or 303 after the request had its method changed from one that could accept a request body (like `POST`) to `GET` as is required by HTTP RFCs. Although this behavior is not specified in the section for redirects, it can be inferred by piecing together information from different sections and we have observed the behavior in other major HTTP client implementations like curl and web browsers. Because the vulnerability requires a previously trusted service to become compromised in order to have an impact on confidentiality we believe the exploitability of this vulnerability is low. Additionally, many users aren\'t putting sensitive data in HTTP request bodies, if this is the case then this vulnerability isn\'t exploitable. Both of the following conditions must be true to be affected by this vulnerability: 1. Using urllib3 and submitting sensitive information in the HTTP request body (such as form data or JSON) and 2. The origin service is compromised and starts redirecting using 301, 302, or 303 to a malicious peer or the redirected-to service becomes compromised. This issue has been addressed in versions 1.26.18 and 2.0.7 and users are advised to update to resolve this issue. Users unable to update should disable redirects for services that aren\'t expecting to respond with redirects with `redirects=False` and disable automatic redirects with `redirects=False` and handle 301, 302, and 303 redirects manually by stripping the HTTP request body.		 Vulnerability
CVE.webp 2023-10-17 20:15:10 CVE-2023-4896 (lien direct) Une vulnérabilité existe qui permet à un attaquant authentifié d'accéder à des informations sensibles sur l'interface de gestion basée sur la plate-forme de gestion Airwave.Une exploitation réussie permet à l'attaquant d'accéder à certaines données qui pourraient être exploitées pour accéder latéralement à accéder aux périphériques gérés et surveillés par le serveur AirWave.
A vulnerability exists which allows an authenticated attacker to access sensitive information on the AirWave Management Platform web-based management interface. Successful exploitation allows the attacker to gain access to some data that could be further exploited to laterally access devices managed and monitored by the AirWave server.		 Vulnerability
CVE.webp 2023-10-17 20:15:10 CVE-2023-45952 (lien direct) Une vulnérabilité de téléchargement de fichiers arbitraires dans le composant ajax_link.php de lylme_spage v1.7.0 permet aux attaquants d'exécuter du code arbitraire via le téléchargement d'un fichier fabriqué.
An arbitrary file upload vulnerability in the component ajax_link.php of lylme_spage v1.7.0 allows attackers to execute arbitrary code via uploading a crafted file.		 Vulnerability
CVE.webp 2023-10-17 16:15:10 CVE-2023-27133 (lien direct) TSPLUS Remote Work 16.0.0.0 a des autorisations faibles pour les fichiers .exe, .js et .html dans le dossier% ProgramFiles (x86)% \ tsplus-remotework \ clients \ www.Cela peut permettre une escalade de privilège si un autre utilisateur local modifie un fichier.Remarque: CVE-2023-31067 et CVE-2023-31068 ne concernent que le produit d'accès à distance TSPLUS, pas le produit de travail à distance TSPLUS.
TSplus Remote Work 16.0.0.0 has weak permissions for .exe, .js, and .html files under the %PROGRAMFILES(X86)%\TSplus-RemoteWork\Clients\www folder. This may enable privilege escalation if a different local user modifies a file. NOTE: CVE-2023-31067 and CVE-2023-31068 are only about the TSplus Remote Access product, not the TSplus Remote Work product.
CVE.webp 2023-10-17 16:15:09 CVE-2023-27132 (lien direct) TSPLUS Remote Work 16.0.0.0 place un mot de passe ClearText sur la ligne "Var Pass" du code source HTML pour le portail Web Secure Secure Sign-On.Remarque: CVE-2023-31069 concerne le produit d'accès à distance TSPLUS, pas le produit de travail à distance TSPLUS.
TSplus Remote Work 16.0.0.0 places a cleartext password on the "var pass" line of the HTML source code for the secure single sign-on web portal. NOTE: CVE-2023-31069 is only about the TSplus Remote Access product, not the TSplus Remote Work product.
CVE.webp 2023-10-17 15:15:10 CVE-2023-37537 (lien direct) Une vulnérabilité de chemin de service non adhéré en présence de HCL AppScan, déployée en tant que service Windows dans HCL AppScan sur Cloud (ASOC), peut permettre à un attaquant local d'obtenir des privilèges élevés.
An unquoted service path vulnerability in HCL AppScan Presence, deployed as a Windows service in HCL AppScan on Cloud (ASoC), may allow a local attacker to gain elevated privileges.		 Vulnerability Cloud
CVE.webp 2023-10-17 14:15:10 CVE-2023-45905 (lien direct) Le Dreamer CMS V4.1.3 a été découvert qu'il contenait une contrefaçon de demande de site transversal (CSRF) via le composant / admin / variable / add.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/variable/add.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45901 (lien direct) Dreamer CMS V4.1.3 a été découvert pour contenir une contrefaçon de demande de site transversal (CSRF) via le composant / admin \ / catégorie \ / add.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin\/category\/add.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45907 (lien direct) Le Dreamer CMS V4.1.3 a été découvert pour contenir un contrefaçon de demande de site croisé (CSRF) via le composant / admin / variable / delete.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/variable/delete.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45903 (lien direct) Le Dreamer CMS V4.1.3 a été découvert qu'il contenait un contrefaçon de demande de site croisé (CSRF) via le composant / admin / label / supprimer.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/label/delete.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45904 (lien direct) Le Dreamer CMS V4.1.3 a été découvert qu'il contenait une falsification de demande de site croisé (CSRF) via le composant / variable / mise à jour.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /variable/update.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45902 (lien direct) Le Dreamer CMS V4.1.3 a été découvert qu'il contenait une contrefaçon de demande de site croisé (CSRF) via le composant / admin / attachement / supprimer.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/attachment/delete.
CVE.webp 2023-10-17 14:15:10 CVE-2023-45906 (lien direct) Dreamer CMS V4.1.3 a été découvert qu'il contenait une contrefaçon de demande de site croisé (CSRF) via le composant / admin / user / add.
Dreamer CMS v4.1.3 was discovered to contain a Cross-Site Request Forgery (CSRF) via the component /admin/user/add.
CVE.webp 2023-10-17 14:15:09 CVE-2023-20598 (lien direct) Une mauvaise gestion des privilèges dans l'AMD Radeon & acirc; & bdquo; & cent; & acirc; & nbsp; le pilote graphique peut permettre à un attaquant authentifié de créer une demande IOCTL pour obtenir un contrôle d'E / S sur des ports matériels arbitraires ou des adresses physiques entraînant une exécution potentielle de code arbitraire.
An improper privilege management in the AMD Radeon™ Graphics driver may allow an authenticated attacker to craft an IOCTL request to gain I/O control over arbitrary hardware ports or physical addresses resulting in a potential arbitrary code execution.
CVE.webp 2023-10-17 14:15:09 CVE-2023-43959 (lien direct) Un problème dans Yelinksip-T19p-E2 V.53.84.0.15 permet à un attaquant privilégié distant d'exécuter du code arbitraire via une demande fabriquée la fonction Ping du composant de diagnostic.
An issue in YeaLinkSIP-T19P-E2 v.53.84.0.15 allows a remote privileged attacker to execute arbitrary code via a crafted request the ping function of the diagnostic component.
CVE.webp 2023-10-17 13:15:11 CVE-2022-3761 (lien direct) Versions OpenVPN Connect avant 3.4.0.4506 (macOS) et OpenVPN Connect avant 3.4.0.3100 (Windows) permet aux attaquants de l'homme au milieu d'intercepter les demandes de téléchargement de profil de configuration qui contient les informations d'identification des utilisateurs
OpenVPN Connect versions before 3.4.0.4506 (macOS) and OpenVPN Connect before 3.4.0.3100 (Windows) allows man-in-the-middle attackers to intercept configuration profile download requests which contains the users credentials
CVE.webp 2023-10-17 13:15:11 CVE-2023-44824 (lien direct) Un problème dans le système de gestion des dépenses V.1.0 permet à un attaquant local d'exécuter du code arbitraire via un fichier fabriqué téléchargé sur le composant SIGNOP.PHP.
An issue in Expense Management System v.1.0 allows a local attacker to execute arbitrary code via a crafted file uploaded to the sign-up.php component.
CVE.webp 2023-10-17 13:15:11 CVE-2023-42627 (lien direct) Plusieurs vulnérabilités de script de script inter-sites stockées (XSS) dans le module Commerce dans Liferay Portal 7.3.5 à 7.4.3.91, et Liveray DXP 7.3 Update 33 et plus tôt, et 7.4 Avant la mise à jour 92Une charge utile fabriquée injectée dans un (1) le nom d'expédition, (2) le numéro de téléphone d'expédition, (3) l'adresse d'expédition, (4) l'adresse d'expédition 2, (5) l'adresse d'expédition 3, (6) le zip d'expédition, (7) Shipping City, (8) Région d'expédition (9), pays d'expédition, (10) nom de facturation, (11) numéro de téléphone de facturation, (12) Adresse de facturation, (13) Adresse de facturation 2, (14) Adresse de facturation 3, (15) facturationZip, (16) Billing City, (17) Région de facturation, (18) Country de facturation, ou (19) Code de région.
Multiple stored cross-site scripting (XSS) vulnerabilities in the Commerce module in Liferay Portal 7.3.5 through 7.4.3.91, and Liferay DXP 7.3 update 33 and earlier, and 7.4 before update 92 allow remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a (1) Shipping Name, (2) Shipping Phone Number, (3) Shipping Address, (4) Shipping Address 2, (5) Shipping Address 3, (6) Shipping Zip, (7) Shipping City, (8) Shipping Region (9), Shipping Country, (10) Billing Name, (11) Billing Phone Number, (12) Billing Address, (13) Billing Address 2, (14) Billing Address 3, (15) Billing Zip, (16) Billing City, (17) Billing Region, (18) Billing Country, or (19) Region Code.		 Vulnerability
CVE.webp 2023-10-17 13:15:11 CVE-2023-43776 (lien direct) Eaton Easye4 Plc propose une fonctionnalité de protection par mot de passe de l'appareil pour faciliter une connexion sécurisée et empêcher un accès non autorisé.Il a été observé que le mot de passe de l'appareil a été stocké avec un algorithme de codage faible dans le fichier du programme EasyE4 lorsqu'il est exporté vers la carte SD (* .prg Finding).
Eaton easyE4 PLC offers a device password protection functionality to facilitate a secure connection and prevent unauthorized access. It was observed that the device password was stored with a weak encoding algorithm in the easyE4 program file when exported to SD card (*.PRG file ending).
CVE.webp 2023-10-17 13:15:11 CVE-2023-43777 (lien direct) Le logiciel Eaton Easysoft est utilisé pour programmer des contrôleurs et affichages faciles pour la configuration, la programmation et la définition des paramètres pour tous les relais intelligents.Ce logiciel a une fonctionnalité de protection de mot de passe pour sécuriser le fichier de projet à partir d'un accès non autorisé.Ce mot de passe était stocké de manière insérect et pouvait être récupéré par des adversaires qualifiés. & Acirc; & nbsp;
Eaton easySoft software is used to program easy controllers and displays for configuring, programming and defining parameters for all the intelligent relays. This software has a password protection functionality to secure the project file from unauthorized access. This password was being stored insecurely and could be retrieved by skilled adversaries. 
CVE.webp 2023-10-17 12:15:10 CVE-2023-45007 (lien direct) Unauth.Vulnérabilité des scripts croisés (XSS) réfléchis dans le plugin Fotomoto Vulnerability
CVE.webp 2023-10-17 12:15:10 CVE-2023-42628 (lien direct) Vulnérabilité de script de script croisé (XSS) stockée dans le widget wiki dans le portail de Liferay 7.1.0 à 7.4.3.87, et Liveray DXP 7.0 correction du pack 83 à 102, 7.1 Correction Pack 28 et plus tôt, 7.2 Fix Pack 20 et plus tôt, 7.3 Update Update33 et plus tôt, et 7.4 avant la mise à jour 88 permet aux attaquants distants d'injecter un script Web arbitraire ou un HTML dans une page Wiki parent via une charge utile fabriquée injectée dans une page wiki \\ 's & acirc; & euro; & tilde; Content & acirc; & eUro; & tir;champ de texte.
Stored cross-site scripting (XSS) vulnerability in the Wiki widget in Liferay Portal 7.1.0 through 7.4.3.87, and Liferay DXP 7.0 fix pack 83 through 102, 7.1 fix pack 28 and earlier, 7.2 fix pack 20 and earlier, 7.3 update 33 and earlier, and 7.4 before update 88 allows remote attackers to inject arbitrary web script or HTML into a parent wiki page via a crafted payload injected into a wiki page\'s ‘Content’ text field.		 Vulnerability
CVE.webp 2023-10-17 12:15:10 CVE-2023-45004 (lien direct) Unauth.Vulnérabilité reflétée de scripts croisés (XSS) dans WP3Sixty Woo Custom Emails Plugin Vulnerability
CVE.webp 2023-10-17 12:15:10 CVE-2023-45006 (lien direct) Unauth.Vulnérabilité reflétée de scripts croisés (XSS) dans ByConsole Wooodt Lite & acirc; & euro; & ldquo;Livraison ou ramassage de la commande WOOCommerce avec le plugin d'emplacement de date de date Vulnerability
CVE.webp 2023-10-17 12:15:09 CVE-2023-39902 (lien direct) Une vulnérabilité logicielle a été identifiée dans le chargeur de programme secondaire U-Boot (SPL) avant 2023.07 sur certains processeurs familiaux NXP I.MX 8M.Dans certaines conditions, une structure de format arborescence d'image (ajustée) artisanale peut être utilisée pour écraser la mémoire SPL, permettant aux logiciels non authentifiés de s'exécuter sur la cible, conduisant à une escalade de privilège.Cela affecte I.MX 8M, I.MX 8M MINI, I.MX 8M NANO et I.MX 8M Plus.
A software vulnerability has been identified in the U-Boot Secondary Program Loader (SPL) before 2023.07 on select NXP i.MX 8M family processors. Under certain conditions, a crafted Flattened Image Tree (FIT) format structure can be used to overwrite SPL memory, allowing unauthenticated software to execute on the target, leading to privilege escalation. This affects i.MX 8M, i.MX 8M Mini, i.MX 8M Nano, and i.MX 8M Plus.		 Vulnerability
CVE.webp 2023-10-17 11:15:10 CVE-2023-45010 (lien direct) Auth.(Admin +) Vulnérabilité des scripts inter-sites (XSS) dans Alex MacArthur Complete Plugin graphique ou ouvert Vulnerability
CVE.webp 2023-10-17 11:15:10 CVE-2023-45003 (lien direct) Unauth.Vulnérabilité reflétée de scripts croisés (XSS) dans les plugins Arrow Plugins Social Feed |Feed pour les réseaux de réseaux sociaux Plugin Vulnerability
CVE.webp 2023-10-17 10:15:10 CVE-2023-45005 (lien direct) Unauth.La vulnérabilité de script de sites croisées réfléchie (XSS) dans Castos Strancy Simple Statistiques Plugin Vulnerability
CVE.webp 2023-10-17 10:15:10 CVE-2023-5339 (lien direct) Match Post Desktop & acirc; & nbsp; ne parvient pas à définir un niveau de journal approprié pendant l'exécution initiale après une nouvelle installation et acirc; & nbsp; résultant en la journalisation de toutes les touches et acirc; & nbsp; y compris l'entrée de mot de passe & acirc; & nbsp; être enregistré. & Acirc; & nbsp;
Mattermost Desktop fails to set an appropriate log level during initial run after fresh installation resulting in logging all keystrokes including password entry being logged. 
CVE.webp 2023-10-17 10:15:10 CVE-2023-44990 (lien direct) Auth.(Admin +) Vulnérabilité des scripts inter-sites stockés (XSS) dans RealMag777 Wolf & acirc; & euro; & ldquo;WordPress Posts Editor Bulk Editor and Manager Plugin professionnel Vulnerability
CVE.webp 2023-10-17 10:15:10 CVE-2023-5522 (lien direct) Match Mobile ne limite pas & acirc; & nbsp; le nombre maximum d'éléments de démarque dans un post permettant à un attaquant d'envoyer un message avec des centaines d'emojis à un canal et & acirc; & nbsp; geler l'application mobile d'utilisateurs lors de la visualisation de cette chaîne particulière. & Acirc; & nbsp; & nbsp; & nbsp; & nbsp; & nbsp; & nbsp; & nbsp; & nbsp;;
Mattermost Mobile fails to limit the maximum number of Markdown elements in a post allowing an attacker to send a post with hundreds of emojis to a channel and freeze the mobile app of users when viewing that particular channel. 
CVE.webp 2023-10-17 10:15:09 CVE-2023-44310 (lien direct) Vulnérabilité de script de script (XSS) entre le site transversal dans Page Menu Liferay Portal 7.3.6 à 7.4.3.78, et Liveray DXP 7.3 Fix Pack 1 via la mise à jour 23, et 7.4 avant la mise à jour 79 permet aux attaquants distants d'injecter un script Web arbitraire ou un HTML via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via via la mise à jour 79Une charge utile fabriquée injectée dans le champ de texte "Nom" de Page \\.
Stored cross-site scripting (XSS) vulnerability in Page Tree menu Liferay Portal 7.3.6 through 7.4.3.78, and Liferay DXP 7.3 fix pack 1 through update 23, and 7.4 before update 79 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into page\'s "Name" text field.		 Vulnerability
CVE.webp 2023-10-17 10:15:09 CVE-2023-44311 (lien direct) Les vulnérabilités de script de script inter-sites transversales réfléchies (XSS) dans le plugin pour la classe OAuth 2.0 module \\ de OAuth2ProviderApplicationRerect dans LifeRay Portal 7.4.3.41 à 7.4.3.30script ou html via le paramètre (1) du code, ou (2) d'erreur.Ce problème est causé par une correction incomplète dans CVE-2023-33941.
Multiple reflected cross-site scripting (XSS) vulnerabilities in the Plugin for OAuth 2.0 module\'s OAuth2ProviderApplicationRedirect class in Liferay Portal 7.4.3.41 through 7.4.3.89, and Liferay DXP 7.4 update 41 through update 89 allow remote attackers to inject arbitrary web script or HTML via the (1) code, or (2) error parameter. This issue is caused by an incomplete fix in CVE-2023-33941.		 Vulnerability
CVE.webp 2023-10-17 09:15:10 CVE-2023-44309 (lien direct) Les vulnérabilités de script de script inter-sites stockées multiples (XSS) dans les composants de fragment dans Liferay Portal 7.4.2 à 7.4.3.53, et Liveray DXP 7.4 Avant la mise à jour 54-HTML Champ d'un actif source lié.
Multiple stored cross-site scripting (XSS) vulnerabilities in the fragment components in Liferay Portal 7.4.2 through 7.4.3.53, and Liferay DXP 7.4 before update 54 allow remote attackers to inject arbitrary web script or HTML via a crafted payload injected into any non-HTML field of a linked source asset.		 Vulnerability
CVE.webp 2023-10-17 09:15:10 CVE-2023-42629 (lien direct) Vulnérabilité des scripts inter-sites stockés (XSS) dans la page Gérer le vocabulaire dans Liferay Portal 7.4.2 à 7.4.3.87, et Liferay DXP 7.4 Avant la mise à jour 88, les attaquants distants injectent un script Web arbitraire ou HTML via une charge utile conçue injectée dans un vocabulaire\\ 's \' description \\ 'champ de texte.
Stored cross-site scripting (XSS) vulnerability in the manage vocabulary page in Liferay Portal 7.4.2 through 7.4.3.87, and Liferay DXP 7.4 before update 88 allows remote attackers to inject arbitrary web script or HTML via a crafted payload injected into a Vocabulary\'s \'description\' text field.		 Vulnerability
CVE.webp 2023-10-17 09:15:09 CVE-2023-24385 (lien direct) Auth.(Auteur +) Vulnérabilité des scripts inter-sites (XSS) dans le plugin Assistant de bibliothèque de médias David Lingren Plugin Vulnerability
CVE.webp 2023-10-17 08:15:09 CVE-2023-42497 (lien direct) Vulnérabilité réfléchie des scripts croisés (XSS) sur la page d'exportation pour la traduction dans Liveray Portal 7.4.3.4 à 7.4.3.85, et Liveray DXP 7.4 Avant la mise à jour 86, les attaquants distants injectent un script Web arbitraire ou un html via le `` _COM_CILERAY_TRANSLATION_WEB_INTERNAL_PORTLET_TRANSLATIONPORTLET_REDERDER` '
Reflected cross-site scripting (XSS) vulnerability on the Export for Translation page in Liferay Portal 7.4.3.4 through 7.4.3.85, and Liferay DXP 7.4 before update 86 allows remote attackers to inject arbitrary web script or HTML via the `_com_liferay_translation_web_internal_portlet_TranslationPortlet_redirect` parameter.		 Vulnerability
CVE.webp 2023-10-17 08:15:09 CVE-2023-4399 (lien direct) Grafana est une plate-forme open source pour la surveillance et l'observabilité. Dans Grafana Enterprise, Demande Security est une liste de refus qui permet aux administrateurs de configurer Grafana de manière à ce que l'instance ne soit pas des hôtes spécifiques à l'instance. Cependant, la restriction peut être contournée en codage punycode utilisé des caractères dans l'adresse de la demande.
Grafana is an open-source platform for monitoring and observability. In Grafana Enterprise, Request security is a deny list that allows admins to configure Grafana in a way so that the instance doesn’t call specific hosts. However, the restriction can be bypassed used punycode encoding of the characters in the request address.
CVE.webp 2023-10-17 07:15:10 CVE-2023-4089 (lien direct) Sur les produits WAGO affectés, un attaquant distant avec des privilèges administratifs peut accéder aux fichiers auxquels il a déjà accès via une inclusion de fichiers locaux sans papiers.Cet accès est enregistré dans un fichier journal différent de celui prévu.
On affected Wago products an remote attacker with administrative privileges can access files to which he has already access to through an undocumented local file inclusion. This access is logged in a different log file than expected.
CVE.webp 2023-10-17 07:15:09 CVE-2023-39456 (lien direct) Vulnérabilité de validation d'entrée incorrecte dans le serveur de trafic Apache avec les trames HTTP / 2 malformées. Ce problème affecte le serveur de trafic Apache: de 9.0.0 à 9.2.2. Il est recommandé aux utilisateurs de passer à la version 9.2.3, ce qui résout le problème.
Improper Input Validation vulnerability in Apache Traffic Server with malformed HTTP/2 frames.This issue affects Apache Traffic Server: from 9.0.0 through 9.2.2. Users are recommended to upgrade to version 9.2.3, which fixes the issue.		 Vulnerability
CVE.webp 2023-10-17 07:15:09 CVE-2023-41752 (lien direct) Exposition d'informations sensibles à une vulnérabilité d'acteur non autorisée dans Apache Traffic Server. Ce problème affecte le serveur de trafic Apache: de 8.0.0 à 8.1.8, du 9.0.0 à 9.2.2. Il est recommandé aux utilisateurs de passer à la version 8.1.9 ou 9.2.3, ce qui résout le problème.
Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache Traffic Server.This issue affects Apache Traffic Server: from 8.0.0 through 8.1.8, from 9.0.0 through 9.2.2. Users are recommended to upgrade to version 8.1.9 or 9.2.3, which fixes the issue.		 Vulnerability
CVE.webp 2023-10-17 06:15:09 CVE-2023-44694 (lien direct) D-link en ligne Comportement audit passerelle DAR-7000 V31R02B1413C est vulnérable à l'injection SQL via /log/mailrecvview.php.
D-Link Online behavior audit gateway DAR-7000 V31R02B1413C is vulnerable to SQL Injection via /log/mailrecvview.php.
CVE.webp 2023-10-17 06:15:09 CVE-2023-44693 (lien direct) D-link en ligne Comportement audit passerelle DAR-7000 V31R02B1413C est vulnérable à l'injection SQL via /impportExport.php.
D-Link Online behavior audit gateway DAR-7000 V31R02B1413C is vulnerable to SQL Injection via /importexport.php.
CVE.webp 2023-10-17 05:15:50 CVE-2023-45358 (lien direct) La plate-forme Archer 6.x avant 6.13 P2 HF2 (6.13.0.2.2) contient une vulnérabilité de script inter-site (XSS) stockée.Un utilisateur d'Archer malveillant authentifié à distance pourrait potentiellement exploiter cette vulnérabilité pour stocker le code HTML ou JavaScript malveillant dans un magasin de données d'application de confiance.Lorsque les utilisateurs des victimes accèdent au magasin de données via leurs navigateurs, le code malveillant est exécuté par le navigateur Web dans le contexte de l'application vulnérable.6.14 (6.14.0) est également une libération fixe.
Archer Platform 6.x before 6.13 P2 HF2 (6.13.0.2.2) contains a stored cross-site scripting (XSS) vulnerability. A remote authenticated malicious Archer user could potentially exploit this vulnerability to store malicious HTML or JavaScript code in a trusted application data store. When victim users access the data store through their browsers, the malicious code gets executed by the web browser in the context of the vulnerable application. 6.14 (6.14.0) is also a fixed release.		 Vulnerability
CVE.webp 2023-10-17 05:15:50 CVE-2023-45375 (lien direct) Dans le module "PireoSpay" (PireoSpay) avant la version 1.7.10 de 01Generator.com pour Prestashop, un invité peut effectuer une injection SQL via `PireoSpayValidationModuleFrontController :: Postprocess ().`
In the module "PireosPay" (pireospay) before version 1.7.10 from 01generator.com for PrestaShop, a guest can perform SQL injection via `PireosPayValidationModuleFrontController::postProcess().`
CVE.webp 2023-10-17 05:15:50 CVE-2023-45386 (lien direct) Dans le module extratabspro avant la version 2.2.8 de myPresta.eu pour prestashop, un invité peut effectuer une injection SQL via `Extratabspro :: SearchCategory ()`, `Extratabspro :: SearchProduct ()` et `Extratabspro :: SearchMufufuting (). \.\ '
In the module extratabspro before version 2.2.8 from MyPresta.eu for PrestaShop, a guest can perform SQL injection via `extratabspro::searchcategory()`, `extratabspro::searchproduct()` and `extratabspro::searchmanufacturer().\'
CVE.webp 2023-10-17 05:15:50 CVE-2023-34209 (lien direct) L'exposition des informations du système sensible à une sphère de contrôle non autorisée dans la fonction de création de modèle dans Easyuse MailHunter Ultimate 2023 et permettent plus tôt aux utilisateurs authentifiés à distance d'obtenir le chemin absolu via le paramètre ViewState non crypté.
Exposure of Sensitive System Information to an Unauthorized Control Sphere in create template function in EasyUse MailHunter Ultimate 2023 and earlier allow remote authenticated users to obtain the absolute path via unencrypted VIEWSTATE parameter.
CVE.webp 2023-10-17 05:15:50 CVE-2023-45357 (lien direct) La plate-forme Archer 6.x avant 6.13 P2 HF2 (6.13.0.2.2) contient une vulnérabilité de divulgation d'informations sensibles.Un attaquant authentifié pourrait potentiellement obtenir l'accès à des informations sensibles via un message d'avertissement popup.6.14 (6.14.0) est également une libération fixe.
Archer Platform 6.x before 6.13 P2 HF2 (6.13.0.2.2) contains a sensitive information disclosure vulnerability. An authenticated attacker could potentially obtain access to sensitive information via a popup warning message. 6.14 (6.14.0) is also a fixed release.
Last update at: 2024-07-15 10:08:38
See our sources.
My email:

To see everything: Our RSS (filtrered) Twitter