Daniel

توجد مشكلة في معالجة المسار بسبب عدم كفاية التحقق من الصحة. يمكن للمهاجم الذي لديه وصول مادي إلى جهاز مقترن موثوق به استغلال ذلك لقراءة وكتابة ملفات عشوائية.

يوجد ثغرة أمنية في نظام تصميم CivicTheme تسمح بتنفيذ البرمجة النصية عبر المواقع (XSS). ويرجع ذلك إلى عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحة الويب. تؤثر هذه المشكلة على طريقة معالجة البيانات التي يقدمها المستخدم، مما قد يسمح للمهاجمين بإدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون.

توجد مشكلة تتعلق بتفويض غير صحيح في نظام تصميم CivicTheme، مما يسمح بالتنقل القسري. ويرجع ذلك إلى ضوابط وصول غير كافية، مما قد يتيح الوصول غير المصرح به إلى الموارد.

يحتوي ملحق Lockdown في MediaWiki على ثغرة تتعلق بتعيين أذونات غير صحيحة للموارد الحساسة، مما يسمح بإساءة استخدام الامتيازات. تكمن المشكلة في وحدة compare API وتسمح للمهاجمين بالتحايل على الأذونات، مما قد يؤدي إلى رفع الامتيازات بشكل كامل دون مصادقة. تم إصلاح المشكلة في Mediawiki Core Action API.

The issue is an unauthenticated remote code execution vulnerability that can be triggered by an HTTP endpoint exposed to the network.

The issue is related to an origin bypass via the host header in an HTTP request. This can be triggered by an HTTP endpoint exposed to the network.

The issue affects devices from "PoS/ Dienstleistung, Entwicklung & Vertrieb GmbH" and allows for the leakage of the database, including system settings and user accounts. This can be triggered by an HTTP endpoint exposed to the network.

The issue allows attackers to gain sensitive information via the `success` parameter to the "/user" API endpoint. This is a Cross Site Scripting (XSS) vulnerability, which means attackers can inject malicious scripts into websites, potentially leading to unauthorized access to sensitive data.

Name of the Vulnerable Software and Affected Versions: Tiny Tiny RSS (aka tt-rss) versions prior to 2021-03-12 Description: The auth internal plugin in Tiny Tiny RSS allows an attacker to log in via the OTP code without a valid password. This issue only affected the git master branch for a short time. However, all end users are explicitly directed to use the git master branch in production. Recommendations: For versions prior to 2021-03-12, update to a version after 2021-03-12 to resolve the issue. As a temporary workaround, consider disabling the auth internal plugin until a patch is available. Restrict access to the OTP code login functionality to minimize the risk of exploitation.