Уязвимости

CISA внесла в каталог Known Exploited Vulnerabilities уязвимость внедрения команд в приложение Collabora Online Built-in CODE Server для Nextcloud. Каталог, известный как KEV, собирает уязвимости с подтверждённой эксплуатацией в реальных атаках.

Агентство CISA добавило в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией) уязвимость в Arista VeloCloud Orchestrator.

Механизм PHP, который показывает ход загрузки файла через сессию, при редком сочетании настроек открывает путь к удалённому выполнению кода. То есть сервер может начать исполнять команды, которых в приложении нет.

В Siemens Software Center обнаружена уязвимость, которая позволяет локальному аутентифицированному пользователю разместить библиотеку DLL (динамически подключаемую библиотеку) в каталоге, который программа просматривает при запуске.

В комплекте Industrial Edge Device Kit от Siemens обнаружены уязвимости обхода путей. Пользователь с действующей учётной записью может через них добраться до внутренних служебных интерфейсов и прочитать сведения, которые ему не предназначены.

В комплекте Industrial Edge Device Kit от Siemens обнаружены уязвимости обхода путей. Пользователь с действующей учётной записью может через них добраться до внутренних служебных интерфейсов и прочитать сведения, которые ему не предназначены.

Внедрение SQL-кода в VeloCloud Orchestrator (VCO), платформе управления сетью VeloCloud, при локальной установке даёт любому прошедшему вход пользователю права оператора и позволяет выдать себя за локального суперпользователя.

Обход аутентификации, внедрение команд и переполнение буфера в беспроводных операционных системах AOS-8 и AOS-10 позволяют удалённому злоумышленнику без учётных данных получить права администратора на контроллере или точке доступа.