What's new arround internet
Last one

Src Date (GMT) Titre Description Tags Stories Notes
CVE.webp 2023-10-17 05:15:50 CVE-2023-34210 (lien direct) L'injection SQL dans Créer une fonction de groupe de clients dans Easyuse MailHunter Ultimate 2023 et permettent plus tôt aux utilisateurs authentifiés à distance d'exécuter des commandes SQL arbitraires via le paramètre CTL00 $ ContentPlaceHolder1 $ txtCustSQL.
SQL Injection in create customer group function in EasyUse MailHunter Ultimate 2023 and earlier allow remote authenticated users to execute arbitrary SQL commands via the ctl00$ContentPlaceHolder1$txtCustSQL parameter.
CVE.webp 2023-10-17 04:15:12 CVE-2023-34208 (lien direct) La traversée de chemin dans la fonction de création du modèle dans Easyuse MailHunter Ultimate 2023 et permettent plus tôt aux utilisateurs authentifiés à distance d'extraire des fichiers dans des répertoires arbitraires via une archive zip fabriquée.
Path Traversal in create template function in EasyUse MailHunter Ultimate 2023 and earlier allow remote authenticated users to extract files into arbitrary directories via a crafted ZIP archive.
CVE.webp 2023-10-17 04:15:11 CVE-2023-34207 (lien direct) Téléchargement sans restriction de fichiers avec une vulnérabilité de type dangereux dans la fonction de création de modèle dans Easyuse Mailhunter Ultimate 2023 et antérieure permet aux utilisateurs authentifiés à distance d'effectuer des commandes système arbitraires avec & acirc; & euro; & tilde; nt autorité \ System & acirc; & euro; & tilde;privilège via une archive zip fabriquée.
Unrestricted upload of file with dangerous type vulnerability in create template function in EasyUse MailHunter Ultimate 2023 and earlier allows remote authenticated users to perform arbitrary system commands with ‘NT Authority\SYSTEM‘ privilege via a crafted ZIP archive.		 Vulnerability
CVE.webp 2023-10-17 03:15:09 CVE-2022-43892 (lien direct) IBM Security Vérifiez le privilège sur site 11.5 ne valide pas, ou ne valide pas à tort, un certificat qui pourrait divulguer des informations sensibles qui pourraient aider à d'autres attaques contre le système.IBM X-FORCE ID: 240455.
IBM Security Verify Privilege On-Premises 11.5 does not validate, or incorrectly validates, a certificate which could disclose sensitive information which could aid further attacks against the system. IBM X-Force ID: 240455.
CVE.webp 2023-10-17 03:15:09 CVE-2022-43891 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un attaquant distant d'obtenir des informations sensibles lorsqu'un message d'erreur technique détaillé est renvoyé dans le navigateur.Ces informations pourraient être utilisées dans d'autres attaques contre le système.IBM X-FORCE ID: 240454.
IBM Security Verify Privilege On-Premises 11.5 could allow a remote attacker to obtain sensitive information when a detailed technical error message is returned in the browser. This information could be used in further attacks against the system. IBM X-Force ID: 240454.
CVE.webp 2023-10-17 02:15:10 CVE-2022-22385 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait divulguer des informations sensibles à une attaque en raison de la transmission de données dans un texte clair.IBM X-FORCE ID: 221962.
IBM Security Verify Privilege On-Premises 11.5 could disclose sensitive information to an attacked due to the transmission of data in clear text. IBM X-Force ID: 221962.
CVE.webp 2023-10-17 02:15:10 CVE-2022-43893 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un utilisateur privilégié de provoquer en utilisant une charge utile malveillante.IBM X-FORCE ID: 240634.
IBM Security Verify Privilege On-Premises 11.5 could allow a privileged user to cause by using a malicious payload. IBM X-Force ID: 240634.
CVE.webp 2023-10-17 02:15:10 CVE-2022-22386 (lien direct) IBM Security Vérifier le privilège sur site 11.Un attaquant pourrait exploiter cette vulnérabilité pour obtenir des informations sensibles en utilisant l'homme dans les techniques du milieu.IBM X-FORCE ID: 221963.
IBM Security Verify Privilege On-Premises 11.5 could allow a remote attacker to obtain sensitive information, caused by the failure to properly enable HTTP Strict Transport Security. An attacker could exploit this vulnerability to obtain sensitive information using man in the middle techniques. IBM X-Force ID: 221963.		 Vulnerability
CVE.webp 2023-10-17 02:15:10 CVE-2022-22375 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un attaquant authentifié distant d'exécuter des commandes arbitraires sur le système en envoyant une demande spécialement conçue.IBM X-FORCE ID: 221681.
IBM Security Verify Privilege On-Premises 11.5 could allow a remote authenticated attacker to execute arbitrary commands on the system by sending a specially crafted request. IBM X-Force ID: 221681.
CVE.webp 2023-10-17 02:15:10 CVE-2022-43889 (lien direct) IBM Security Vérifiez le privilège sur site 11.5 pourrait divulguer des informations sensibles via une demande HTTP qui pourrait aider un attaquant à d'autres attaques contre le système.IBM X-FORCE ID: 240452.
IBM Security Verify Privilege On-Premises 11.5 could disclose sensitive information through an HTTP request that could aid an attacker in further attacks against the system. IBM X-Force ID: 240452.
CVE.webp 2023-10-17 02:15:10 CVE-2022-22380 (lien direct) IBM Security Vérifiez le privilège sur site 11.5 pourrait permettre à un attaquant de fusionner une entité de confiance en raison des certificats de validation mal.IBM X-FORCE ID: 221957.
IBM Security Verify Privilege On-Premises 11.5 could allow an attacker to spoof a trusted entity due to improperly validating certificates. IBM X-Force ID: 221957.
CVE.webp 2023-10-17 02:15:10 CVE-2021-38859 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un utilisateur d'obtenir des informations de numéro de version en utilisant une demande HTTP spécialement conçue qui pourrait être utilisée dans d'autres attaques contre le système.IBM X-FORCE ID: 207899.
IBM Security Verify Privilege On-Premises 11.5 could allow a user to obtain version number information using a specially crafted HTTP request that could be used in further attacks against the system. IBM X-Force ID: 207899.
CVE.webp 2023-10-17 02:15:09 CVE-2021-29913 (lien direct) IBM Security Vérifier le privilège sur site 11IBM X-FORCE ID: 207898.
IBM Security Verify Privilege On-Premise 11.5 could allow an authenticated user to obtain sensitive information or perform unauthorized actions due to improper input validation. IBM X-Force ID: 207898.
CVE.webp 2023-10-17 02:15:09 CVE-2021-20581 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un utilisateur d'obtenir des informations sensibles en raison de l'expiration insuffisante de la session.IBM X-Force ID: 199324.
IBM Security Verify Privilege On-Premises 11.5 could allow a user to obtain sensitive information due to insufficient session expiration. IBM X-Force ID: 199324.
CVE.webp 2023-10-17 01:15:09 CVE-2022-22377 (lien direct) IBM Security Vérifier le privilège sur site 11.Un attaquant pourrait exploiter cette vulnérabilité pour obtenir des informations sensibles en utilisant l'homme dans les techniques du milieu.IBM X-FORCE ID: 221827.
IBM Security Verify Privilege On-Premises 11.5 could allow a remote attacker to obtain sensitive information, caused by the failure to properly enable HTTP Strict Transport Security. An attacker could exploit this vulnerability to obtain sensitive information using man in the middle techniques. IBM X-Force ID: 221827.		 Vulnerability
CVE.webp 2023-10-17 01:15:09 CVE-2022-22384 (lien direct) IBM Security Vérifier le privilège sur site 11.5 pourrait permettre à un attaquant de modifier les messages renvoyés du serveur en raison de la validation d'entrée dangereuse.IBM X-FORCE ID: 221961.
IBM Security Verify Privilege On-Premises 11.5 could allow an attacker to modify messages returned from the server due to hazardous input validation. IBM X-Force ID: 221961.
CVE.webp 2023-10-17 00:15:11 CVE-2023-45659 (lien direct) Engelsystem est un système de planification de quart pour les événements du chaos.Si un mot de passe des utilisateurs est compromis et qu'un attaquant a accédé à un compte utilisateur \\ ', c'est-à-dire connecté et obtenu une session, une session d'attaquants \' n'est pas résiliée si le mot de passe du compte utilisateurs \\ 'est réinitialisé.Cette vulnérabilité a été fixée dans le commit `DBB089315FF3D`.Il est conseillé aux utilisateurs de mettre à jour leurs installations.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.
Engelsystem is a shift planning system for chaos events. If a users\' password is compromised and an attacker gained access to a users\' account, i.e., logged in and obtained a session, an attackers\' session is not terminated if the users\' account password is reset. This vulnerability has been fixed in the commit `dbb089315ff3d`. Users are advised to update their installations. There are no known workarounds for this vulnerability.		 Vulnerability
CVE.webp 2023-10-17 00:15:11 CVE-2023-45152 (lien direct) Engelsystem est un système de planification de quart pour les événements du chaos.Un SSRF aveugle dans la fonctionnalité "Importer Schedule" permet d'effectuer une analyse de port par rapport à l'environnement local.Cette vulnérabilité a été fixée dans le commit EE7D30B33.Si un correctif ne peut pas être déployé, les opérateurs doivent s'assurer qu'aucun service HTTP (s) n'écoute uniquement sur localhost et / ou les systèmes accessibles à partir de l'hôte exécutant le logiciel Engelsystem.Si ces services sont nécessaires, ils devraient utiliser une authentification supplémentaire.
Engelsystem is a shift planning system for chaos events. A Blind SSRF in the "Import schedule" functionality makes it possible to perform a port scan against the local environment. This vulnerability has been fixed in commit ee7d30b33. If a patch cannot be deployed, operators should ensure that no HTTP(s) services listen on localhost and/or systems only reachable from the host running the engelsystem software. If such services are necessary, they should utilize additional authentication.		 Vulnerability
CVE.webp 2023-10-17 00:15:11 CVE-2023-4215 (lien direct) Advantech WebAccess version 9.1.3 contient une exposition d'informations sensibles à une vulnérabilité d'acteur non autorisée qui pourrait fuir les informations d'identification des utilisateurs.
Advantech WebAccess version 9.1.3 contains an exposure of sensitive information to an unauthorized actor vulnerability that could leak user credentials.		 Vulnerability
CVE.webp 2023-10-17 00:15:10 CVE-2023-40372 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 11.5 est vulnérable au déni de service avec une instruction SQL spécialement conçue à l'aide de tables externes.IBM X-FORCE ID: 263499.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 11.5 is vulnerable to denial of service with a specially crafted SQL statement using External Tables. IBM X-Force ID: 263499.
CVE.webp 2023-10-17 00:15:10 CVE-2011-10004 (lien direct) Une vulnérabilité a été trouvée dans le plugin d'accès à 1,1,7 sur WordPress.Il a été évalué comme critique.Ce problème affecte un traitement inconnu du fichier uploadimage.php.La manipulation conduit à un téléchargement sans restriction.L'attaque peut être initiée à distance.La mise à niveau vers la version 1.1.8 est en mesure de résoudre ce problème.L'identifiant du patch est E3FF616DC08D3AADFF9253F1085E13F677D0C676.Il est recommandé de mettre à niveau le composant affecté.L'identifiant VDB-242189 a été attribué à cette vulnérabilité.
A vulnerability was found in reciply Plugin up to 1.1.7 on WordPress. It has been rated as critical. This issue affects some unknown processing of the file uploadImage.php. The manipulation leads to unrestricted upload. The attack may be initiated remotely. Upgrading to version 1.1.8 is able to address this issue. The identifier of the patch is e3ff616dc08d3aadff9253f1085e13f677d0c676. It is recommended to upgrade the affected component. The identifier VDB-242189 was assigned to this vulnerability.		 Vulnerability
CVE.webp 2023-10-17 00:15:10 CVE-2012-10016 (lien direct) Une vulnérabilité classée comme problématique a été trouvée dans le plugin de code-button-short-short de Halulu 1.0 sur WordPress.Affecté est une fonction inconnue du fichier simple-download-button_dl.php du gestionnaire de téléchargement des composants.La manipulation du fichier d'argument conduit à la divulgation d'informations.Il est possible de lancer l'attaque à distance.La mise à niveau vers la version 1.1 est en mesure de résoudre ce problème.Le patch est identifié comme E648A8706818297CF02A665AE0BAE1C069DEA5F1.Il est recommandé de mettre à niveau le composant affecté.VDB-242190 est l'identifiant attribué à cette vulnérabilité.
A vulnerability classified as problematic has been found in Halulu simple-download-button-shortcode Plugin 1.0 on WordPress. Affected is an unknown function of the file simple-download-button_dl.php of the component Download Handler. The manipulation of the argument file leads to information disclosure. It is possible to launch the attack remotely. Upgrading to version 1.1 is able to address this issue. The patch is identified as e648a8706818297cf02a665ae0bae1c069dea5f1. It is recommended to upgrade the affected component. VDB-242190 is the identifier assigned to this vulnerability.		 Vulnerability
CVE.webp 2023-10-17 00:15:10 CVE-2023-40373 (lien direct) IBM DB2 pour Linux, UNIX et Windows (inclut le serveur DB2 Connect) est vulnérable au déni de service avec une requête spécialement conçue contenant des expressions de table communes.IBM X-FORCE ID: 263574.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) is vulnerable to denial of service with a specially crafted query containing common table expressions. IBM X-Force ID: 263574.
CVE.webp 2023-10-17 00:15:10 CVE-2023-38719 (lien direct) IBM DB2 11.5 pourrait permettre à un utilisateur local avec des privilèges spéciaux de provoquer un déni de service pendant la désactivation de la base de données sur DPF.IBM X-FORCE ID: 261607.
IBM Db2 11.5 could allow a local user with special privileges to cause a denial of service during database deactivation on DPF. IBM X-Force ID: 261607.
CVE.webp 2023-10-16 23:15:10 CVE-2023-40374 (lien direct) IBM DB2 pour Linux, UNIX et Windows (inclut le serveur DB2 Connect) 11.5 est vulnérable au déni de service avec une instruction de requête spécialement conçue.IBM X-FORCE ID: 263575.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 11.5 is vulnerable to denial of service with a specially crafted query statement. IBM X-Force ID: 263575.
CVE.webp 2023-10-16 23:15:10 CVE-2023-30991 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 11.1 et 11.5 est vulnérable au déni de service avec une requête spécialement conçue.IBM X-FORCE ID: 254037.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 11.1 and 11.5 is vulnerable to denial of service with a specially crafted query. IBM X-Force ID: 254037.
CVE.webp 2023-10-16 22:15:12 CVE-2023-45131 (lien direct) Le discours est une plate-forme open source pour la discussion communautaire.Les nouveaux messages de chat peuvent être lus en faisant une demande de publication non authentifiée à MessageBus.Ce problème est corrigé dans les versions de discours 3.1.1 stables et 3.2.0.beta2.Il est conseillé aux utilisateurs de mettre à niveau.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.
Discourse is an open source platform for community discussion. New chat messages can be read by making an unauthenticated POST request to MessageBus. This issue is patched in the 3.1.1 stable and 3.2.0.beta2 versions of Discourse. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVE.webp 2023-10-16 22:15:12 CVE-2023-44391 (lien direct) Le discours est une plate-forme open source pour la discussion communautaire.Les résumés d'utilisateurs sont accessibles pour les utilisateurs anonymes même lorsque `hide_user_profiles_from_public` est activé.Ce problème a été corrigé dans la version 3.1.1 stable et 3.2.0.beta2 du discours.Il est conseillé aux utilisateurs de mettre à niveau.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.
Discourse is an open source platform for community discussion. User summaries are accessible for anonymous users even when `hide_user_profiles_from_public` is enabled. This problem has been patched in the 3.1.1 stable and 3.2.0.beta2 version of Discourse. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVE.webp 2023-10-16 22:15:12 CVE-2023-45540 (lien direct) Un problème dans Jorani Leave Management System 1.0.3 permet à un attaquant distant d'exécuter le code HTML arbitraire via un script fabriqué au champ de commentaires de la page Liste des demandes de congé.
An issue in Jorani Leave Management System 1.0.3 allows a remote attacker to execute arbitrary HTML code via a crafted script to the comment field of the List of Leave requests page.
CVE.webp 2023-10-16 22:15:12 CVE-2023-43658 (lien direct) DiCourse-Calendar est un plugin pour la plate-forme de messagerie de discours qui ajoute la possibilité de créer un calendrier dynamique dans le premier post d'un sujet.L'échappement incorrect des titres d'événements pourrait conduire à des scripts inter-sites (XSS) dans la prévisualisation \\ 'Aperçu de l'e-mail \' UI Lorsqu'un site est désactivé CSP.Le fait de désactiver CSP est une configuration non défaut, donc la grande majorité des sites ne sont pas affectées.Ce problème est résolu dans la dernière version du plugin Discours-Calendar.Il est conseillé aux utilisateurs de mettre à niveau.Les utilisateurs incapables de mettre à niveau doivent s'assurer que CSP est activé sur le forum.
dicourse-calendar is a plugin for the Discourse messaging platform which adds the ability to create a dynamic calendar in the first post of a topic. Improper escaping of event titles could lead to Cross-site Scripting (XSS) within the \'email preview\' UI when a site has CSP disabled. Having CSP disabled is a non-default configuration, so the vast majority of sites are unaffected. This problem is resolved in the latest version of the discourse-calendar plugin. Users are advised to upgrade. Users unable to upgrade should ensure CSP is enabled on the forum.
CVE.webp 2023-10-16 22:15:12 CVE-2023-44394 (lien direct) Mantisbt est un tracker de bogue open source.En raison des vérifications insuffisantes au niveau de l'accès sur la page de redirection Wiki, tout utilisateur peut révéler des noms de projets privés \\ ', en accédant à wiki.php avec des ID incrémentés séquentiellement.Cette question a été abordée dans Commit `65C4883F`, qui a été incluse dans la version« 2.258 ».Il est conseillé aux utilisateurs de mettre à niveau.Les utilisateurs incapables de mettre à niveau doivent désactiver l'intégration Wiki (`$ g_wiki_enable = off;`).
MantisBT is an open source bug tracker. Due to insufficient access-level checks on the Wiki redirection page, any user can reveal private Projects\' names, by accessing wiki.php with sequentially incremented IDs. This issue has been addressed in commit `65c44883f` which has been included in release `2.258`. Users are advised to upgrade. Users unable to upgrade should disable wiki integration ( `$g_wiki_enable = OFF;`).
CVE.webp 2023-10-16 22:15:12 CVE-2023-43659 (lien direct) Le discours est une plate-forme open source pour la discussion communautaire.L'échappement incorrect de la saisie de l'utilisateur est autorisé pour les attaques de script inter-sites via l'interface utilisateur de prévisualisation par e-mail Digest.Ce problème n'affecte que les sites avec CSP désactivé.Ce problème a été corrigé dans la version stable 3.1.1 ainsi que la version 3.2.0.beta1.Il est conseillé aux utilisateurs de mettre à niveau.Les utilisateurs incapables de mettre à niveau doivent s'assurer que CSP est activé sur le forum.
Discourse is an open source platform for community discussion. Improper escaping of user input allowed for Cross-site Scripting attacks via the digest email preview UI. This issue only affects sites with CSP disabled. This issue has been patched in the 3.1.1 stable release as well as the 3.2.0.beta1 release. Users are advised to upgrade. Users unable to upgrade should ensure CSP is enabled on the forum.
CVE.webp 2023-10-16 22:15:12 CVE-2023-44388 (lien direct) Le discours est une plate-forme open source pour la discussion communautaire.Une demande malveillante peut faire remplir les fichiers journaux de production et entraîner ainsi le serveur à court d'espace disque.Ce problème a été corrigé dans les versions de discours 3.1.1 stables et 3.2.0.beta2.Il est possible de contourner temporairement ce problème en réduisant la directive `client_max_body_size nginx`.`client_max_body_size` limitera la taille des téléchargements qui peuvent être téléchargés directement sur le serveur.
Discourse is an open source platform for community discussion. A malicious request can cause production log files to quickly fill up and thus result in the server running out of disk space. This problem has been patched in the 3.1.1 stable and 3.2.0.beta2 versions of Discourse. It is possible to temporarily work around this problem by reducing the `client_max_body_size nginx directive`. `client_max_body_size` will limit the size of uploads that can be uploaded directly to the server.
CVE.webp 2023-10-16 22:15:12 CVE-2023-45807 (lien direct) OpenSearch est une fourche open source axée sur la communauté d'Elasticsearch et de Kibana après le changement de licence au début de 2021. Il y a un problème avec la mise en œuvre des autorisations de locataire dans les tableaux de bord OpenSearch où des utilisateurs authentifiés avec un accès en lecture seule à un locataire peuvent effectuer Create,Modifier et supprimer les opérations sur les métadonnées d'index des tableaux de bord et des visualisations dans ce locataire, les rendant potentiellement indisponibles.Ce problème n'affecte pas les données d'index, seulement les métadonnées.Les tableaux de bord appliquent correctement les autorisations en lecture seule lors de l'indexation et de la mise à jour des documents.Ce problème ne fournit pas un accès en lecture supplémentaire aux utilisateurs de données Don & acirc; & euro; & commerce;Ce problème peut être atténué en désactivant la fonctionnalité des locataires pour le cluster.Les versions 1.3.14 et 2.11.0 contiennent une correction pour ce problème.
OpenSearch is a community-driven, open source fork of Elasticsearch and Kibana following the license change in early 2021. There is an issue with the implementation of tenant permissions in OpenSearch Dashboards where authenticated users with read-only access to a tenant can perform create, edit and delete operations on index metadata of dashboards and visualizations in that tenant, potentially rendering them unavailable. This issue does not affect index data, only metadata. Dashboards correctly enforces read-only permissions when indexing and updating documents. This issue does not provide additional read access to data users don’t already have. This issue can be mitigated by disabling the tenants functionality for the cluster. Versions 1.3.14 and 2.11.0 contain a fix for this issue.
CVE.webp 2023-10-16 22:15:12 CVE-2023-38740 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 11.5 est vulnérable à un déni de service avec une instruction SQL spécialement conçue.IBM X-FORCE ID: 262613.
IBM Db2 for Linux, UNIX, and Windows (includes Db2 Connect Server) 11.5 is vulnerable to a denial of service with a specially crafted SQL statement. IBM X-Force ID: 262613.
CVE.webp 2023-10-16 22:15:12 CVE-2023-43814 (lien direct) Le discours est une plate-forme open source pour la discussion communautaire.Les attaquants avec des détails spécifiques à un sondage dans un sujet peuvent utiliser le point de terminaison `/ Polls / groupés_poll_results 'pour afficher le contenu des options dans le scrutin et le nombre de votes pour les groupes de participants au sondage.Cela affecte les sondages privés où les résultats étaient destinés à être visibles uniquement par les utilisateurs autorisés.Ce problème est corrigé dans les versions de discours 3.1.1 stables et 3.2.0.beta2.Il n'y a pas de solution de contournement pour ce problème en dehors de la mise à niveau vers la version fixe.
Discourse is an open source platform for community discussion. Attackers with details specific to a poll in a topic can use the `/polls/grouped_poll_results` endpoint to view the content of options in the poll and the number of votes for groups of poll participants. This impacts private polls where the results were intended to only be viewable by authorized users. This issue is patched in the 3.1.1 stable and 3.2.0.beta2 versions of Discourse. There is no workaround for this issue apart from upgrading to the fixed version.
CVE.webp 2023-10-16 22:15:11 CVE-2023-38728 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 10.5, 11.1 et 11.5 est vulnérable au déni de service avec une instruction de requête XML spécialement conçue.IBM X-FORCE ID: 262258.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 10.5, 11.1, and 11.5 is vulnerable to denial of service with a specially crafted XML query statement. IBM X-Force ID: 262258.
CVE.webp 2023-10-16 21:15:11 CVE-2023-45147 (lien direct) Le discours est une plate-forme communautaire open source.Dans les versions affectées, tout utilisateur peut créer un sujet et ajouter des champs personnalisés arbitraires à un sujet.La gravité de cette vulnérabilité dépend de ce que les plugins sont installés et de la façon dont les plugins utilisent des champs personnalisés de la rubrique.Pour une installation de discours par défaut avec les plugins par défaut, cette vulnérabilité n'a aucun impact.Le problème a été corrigé dans la dernière version du discours.Il est conseillé aux utilisateurs de mettre à jour la version 3.1.1 s'ils sont sur la branche stable ou 3.2.0.beta2 s'ils sont sur la succursale bêta.Les utilisateurs incapables de mettre à niveau doivent désactiver tous les plugins qui accèdent aux champs personnalisés du sujet.
Discourse is an open source community platform. In affected versions any user can create a topic and add arbitrary custom fields to a topic. The severity of this vulnerability depends on what plugins are installed and how the plugins uses topic custom fields. For a default Discourse installation with the default plugins, this vulnerability has no impact. The problem has been patched in the latest version of Discourse. Users are advised to update to version 3.1.1 if they are on the stable branch or 3.2.0.beta2 if they are on the beta branch. Users unable to upgrade should disable any plugins that access topic custom fields.		 Vulnerability
CVE.webp 2023-10-16 21:15:11 CVE-2023-45144 (lien direct) com.xwiki.Identity-oAuth: Identity-oAuth-UI est un package pour aider à construire des fournisseurs d'identité et de service basés sur les autorisations d'Oauth.Lorsqu'un utilisateur se connecte via la méthode OAuth, les paramètres IdentityOAuth envoyés dans la demande GET sont vulnérables au script de site croisé (XSS) et à l'injection de syntaxe Xwiki.Cela permet l'exécution du code distant via la macro Groovy et affecte ainsi la confidentialité, l'intégrité et la disponibilité de toute l'installation de Xwiki.Le problème a été résolu dans l'identité OAuth version 1.6.Il n'y a pas de solution de contournement connue pour cette vulnérabilité et les utilisateurs sont invités à mettre à niveau.
com.xwiki.identity-oauth:identity-oauth-ui is a package to aid in building identity and service providers based on OAuth authorizations. When a user logs in via the OAuth method, the identityOAuth parameters sent in the GET request is vulnerable to cross site scripting (XSS) and XWiki syntax injection. This allows remote code execution via the groovy macro and thus affects the confidentiality, integrity and availability of the whole XWiki installation. The issue has been fixed in Identity OAuth version 1.6. There are no known workarounds for this vulnerability and users are advised to upgrade.		 Vulnerability
CVE.webp 2023-10-16 21:15:11 CVE-2023-45141 (lien direct) La fibre est un cadre Web inspiré express écrit dans Go.Une vulnérabilité de contrefaçon de demande croisée (CSRF) a été identifiée dans l'application, qui permet à un attaquant d'obtenir des jetons et de forger des demandes malveillantes au nom d'un utilisateur.Cela peut conduire à des actions non autorisées prises au nom de l'utilisateur, compromettant potentiellement la sécurité et l'intégrité de l'application.La vulnérabilité est causée par une mauvaise validation et l'application des jetons CSRF dans l'application.Cette vulnérabilité a été traitée dans la version 2.50.0 et les utilisateurs sont invités à mettre à niveau.Les utilisateurs doivent prendre des mesures de sécurité supplémentaires telles que CAPTCHAS ou Authentification à deux facteurs (2FA) et définir des cookies de session avec Samesite = lax ou Samesite = Secure, et les attributs sécurisés et httponly.
Fiber is an express inspired web framework written in Go. A Cross-Site Request Forgery (CSRF) vulnerability has been identified in the application, which allows an attacker to obtain tokens and forge malicious requests on behalf of a user. This can lead to unauthorized actions being taken on the user\'s behalf, potentially compromising the security and integrity of the application. The vulnerability is caused by improper validation and enforcement of CSRF tokens within the application. This vulnerability has been addressed in version 2.50.0 and users are advised to upgrade. Users should take additional security measures like captchas or Two-Factor Authentication (2FA) and set Session cookies with SameSite=Lax or SameSite=Secure, and the Secure and HttpOnly attributes.		 Vulnerability
CVE.webp 2023-10-16 21:15:11 CVE-2023-45542 (lien direct) La vulnérabilité des scripts du site croisé dans Moosocial 3.1.8 permet à un attaquant distant d'obtenir des informations sensibles via un script fabriqué au paramètre Q dans la fonction de recherche.
Cross Site Scripting vulnerability in mooSocial 3.1.8 allows a remote attacker to obtain sensitive information via a crafted script to the q parameter in the Search function.		 Vulnerability
CVE.webp 2023-10-16 21:15:11 CVE-2023-45128 (lien direct) La fibre est un cadre Web inspiré express écrit dans Go.Une vulnérabilité de contrefaçon de demande croisée (CSRF) a été identifiée dans l'application, qui permet à un attaquant d'injecter des valeurs arbitraires et de forger des demandes malveillantes au nom d'un utilisateur.Cette vulnérabilité peut permettre à un attaquant d'injecter des valeurs arbitraires sans aucune authentification, ou effectuer diverses actions malveillantes au nom d'un utilisateur authentifié, compromettant potentiellement la sécurité et l'intégrité de l'application.La vulnérabilité est causée par une mauvaise validation et l'application des jetons CSRF dans l'application.Ce problème a été résolu dans la version 2.50.0 et les utilisateurs sont invités à mettre à niveau.Les utilisateurs doivent prendre des mesures de sécurité supplémentaires telles que CAPTCHAS ou Authentification à deux facteurs (2FA) et définir des cookies de session avec Samesite = lax ou Samesite = Secure, et les attributs sécurisés et httponly en tant que mesures de défense en profondeur.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.
Fiber is an express inspired web framework written in Go. A Cross-Site Request Forgery (CSRF) vulnerability has been identified in the application, which allows an attacker to inject arbitrary values and forge malicious requests on behalf of a user. This vulnerability can allow an attacker to inject arbitrary values without any authentication, or perform various malicious actions on behalf of an authenticated user, potentially compromising the security and integrity of the application. The vulnerability is caused by improper validation and enforcement of CSRF tokens within the application. This issue has been addressed in version 2.50.0 and users are advised to upgrade. Users should take additional security measures like captchas or Two-Factor Authentication (2FA) and set Session cookies with SameSite=Lax or SameSite=Secure, and the Secure and HttpOnly attributes as defense in depth measures. There are no known workarounds for this vulnerability.		 Vulnerability
CVE.webp 2023-10-16 21:15:10 CVE-2023-42459 (lien direct) Fast DDS est une implémentation C ++ de la norme DDS (Data Distribution Service) de l'OMG (Group Gestion d'objets).Dans les versions affectées, des données de données spécifiques peuvent être envoyées à un localisateur de découverte qui peuvent déclencher une erreur gratuite.Cela peut écraser à distance tout processus Fast-DDS.L'appel à libre () pourrait potentiellement laisser le pointeur dans le contrôle des attaquants qui pourrait conduire à un double libre.Ce problème a été résolu dans les versions 2.12.0, 2.11.3, 2.10.3 et 2.6.7.Il est conseillé aux utilisateurs de mettre à niveau.Il n'y a pas de solution de contournement connu pour cette vulnérabilité.
Fast DDS is a C++ implementation of the DDS (Data Distribution Service) standard of the OMG (Object Management Group). In affected versions specific DATA submessages can be sent to a discovery locator which may trigger a free error. This can remotely crash any Fast-DDS process. The call to free() could potentially leave the pointer in the attackers control which could lead to a double free. This issue has been addressed in versions 2.12.0, 2.11.3, 2.10.3, and 2.6.7. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVE.webp 2023-10-16 21:15:10 CVE-2023-40851 (lien direct) Vulnérabilité des scripts de site croisé (XSS) dans l'enregistrement des utilisateurs PHPGurukul & AMP;Le système de connexion et de gestion des utilisateurs avec le panneau d'administration 3.0 permet aux attaquants d'exécuter un code arbitraire via les champs FNAME, LNAME, EMAIL et Contact de la page d'enregistrement de l'utilisateur.
Cross Site Scripting (XSS) vulnerability in Phpgurukul User Registration & Login and User Management System With admin panel 3.0 allows attackers to run arbitrary code via fname, lname, email, and contact fields of the user registration page.		 Vulnerability
CVE.webp 2023-10-16 21:15:10 CVE-2023-38720 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 11.5 et 11.5 est vulnérable au déni de service avec une instruction alter spécialement conçue.IBM X-FORCE ID: 261616.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 11.5 and 11.5 is vulnerable to denial of service with a specially crafted ALTER TABLE statement. IBM X-Force ID: 261616.
CVE.webp 2023-10-16 21:15:10 CVE-2023-30987 (lien direct) IBM DB2 pour Linux, Unix et Windows (inclut le serveur DB2 Connect) 10.5, 11.1 et 11.5 est vulnérable au déni de service avec une requête spécialement conçue sur certaines bases de données.IBM X-FORCE ID: 253440.
IBM Db2 for Linux, UNIX and Windows (includes Db2 Connect Server) 10.5, 11.1, and 11.5 is vulnerable to denial of service with a specially crafted query on certain databases. IBM X-Force ID: 253440.
CVE.webp 2023-10-16 21:15:10 CVE-2023-40852 (lien direct) Vulnérabilité de l'injection SQL dans l'enregistrement des utilisateurs PHPGurukul & AMP;Le système de connexion et de gestion des utilisateurs avec le panneau d'administration 3.0 permet aux attaquants d'obtenir des informations sensibles via une chaîne fabriquée dans le champ de nom d'utilisateur d'administration sur la page de connexion admin.
SQL Injection vulnerability in Phpgurukul User Registration & Login and User Management System With admin panel 3.0 allows attackers to obtain sensitive information via crafted string in the admin user name field on the admin log in page.		 Vulnerability
CVE.webp 2023-10-16 20:15:18 CVE-2023-5561 (lien direct) Le plugin WordPress Builder Popup Builder via 4.1.15 ne désinfecte pas et n'échappe pas à certains de ses paramètres, ce qui pourrait permettre aux utilisateurs de privilèges élevés tels que l'administrateur pour effectuer des attaques de scripts inter-sites, même lorsque la capacité non filtrée_html est interdite (par exemple dans la configuration multisite).
The Popup Builder WordPress plugin through 4.1.15 does not sanitise and escape some of its settings, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup).
CVE.webp 2023-10-16 20:15:17 CVE-2023-5177 (lien direct) Le plugin WordPress VRM 360 3D Model Viewer via 1.2.1 expose le chemin complet d'un fichier lors de la mise dans un fichier inexistant dans un paramètre du shortcode.
The Vrm 360 3D Model Viewer WordPress plugin through 1.2.1 exposes the full path of a file when putting in a non-existent file in a parameter of the shortcode.
CVE.webp 2023-10-16 20:15:17 CVE-2023-5003 (lien direct) Le plugin WordPress Integration Integration / LDAP Active Directory avant 4.1.10 stocke les journaux LDAP sensibles dans un fichier tampon lorsqu'un administrateur souhaite exporter lesdits journaux.Malheureusement, ce fichier journal n'est jamais supprimé et reste accessible aux utilisateurs qui connaissent l'URL pour le faire.
The Active Directory Integration / LDAP Integration WordPress plugin before 4.1.10 stores sensitive LDAP logs in a buffer file when an administrator wants to export said logs. Unfortunately, this log file is never removed, and remains accessible to any users knowing the URL to do so.
Last update at: 2024-07-01 02:08:03
See our sources.
My email:

To see everything: Our RSS (filtrered) Twitter