Dominique Righetto

An origin validation error in the middleware allows an attacker to bypass origin verification. This flaw enables the execution of cross-domain authenticated requests, which occur when a request is made from one domain to another while maintaining the user's authentication session.

The API is prone to XML external entity (XXE) injection because XML external entity support is enabled by default. XXE is a type of attack where an application processes XML input containing a reference to an external entity, potentially allowing an attacker to read arbitrary files or perform server-side request forgery.

يؤدي التقييد غير السليم لمراجع الكيانات الخارجية في XML في برنامج jOpenDocument من شركة ILM Informatique إلى حدوث ثغرة أمنية تُعرف باسم «تفجير الكيانات الخارجية لتسلسل البيانات» (Data Serialization External Entities Blowup). ويحدث ذلك عندما يفشل التطبيق في تقييد الكيانات الخارجية في XML بشكل صحيح، وهي عبارة عن مراجع لملفات أو موارد خارجية داخل مستند XML.

يؤدي التعيين غير الصحيح للأذونات لمورد حرج إلى السماح باستبدال الملفات الثنائية.

يؤدي تخزين كلمة المرور بنص عادي إلى إمكانية استرجاع البيانات الحساسة المضمنة.

توجد ثغرة أمنية من نوع تزوير الطلبات عبر المواقع (CSRF) في وظيفة إدارة الموارد. تتيح هذه الثغرة للمهاجم إرسال ملفات نيابة عن المستخدمين المسجلين الدخول، ثم الوصول إلى هذه الملفات دون مصادقة.

توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة في وظيفة استيراد الاستطلاعات في التطبيق الويب. تتيح هذه الثغرة للمهاجم إدخال كود JavaScript تعسفي يتم تنفيذه في سياق تصفح الزوار الذين يصلون إلى استطلاع تم اختراقه.

يوجد خلل في وظيفة استيراد عمليات البحث يتيح للمهاجم إجبار الخادم على إرسال طلبات HTTP GET إلى وجهة عشوائية من خلال طلبات استيراد تم التلاعب بها. وهذه ثغرة أمنية من نوع «تزوير الطلبات من جانب الخادم» (SSRF) العمياء.

تسمح هذه الثغرة لمهاجم يتمتع بامتيازات محدودة ولديه وصول إلى الشبكة عبر بروتوكول HTTP باختراق النظام. تتطلب الهجمات الناجحة تدخلاً بشريًّا من شخص آخر غير المهاجم، وقد تؤثر بشكل كبير على منتجات أخرى. قد تؤدي الهجمات إلى وصول غير مصرح به لتحديث أو إدراج أو حذف بعض البيانات القابلة للوصول، بالإضافة إلى وصول غير مصرح به للقراءة إلى مجموعة فرعية من البيانات القابلة للوصول.

An issue was discovered that permits a bypass of the protection in place, allowing access to the data stored in the embedded database file.

An issue in Apiris Kafeo permits DLL hijacking, allowing a user to trigger the execution of arbitrary code every time the product is executed.

The issue allows DLL hijacking, enabling a user to trigger the execution of arbitrary code every time the product is executed.

An issue was discovered in Regify Regipay Client for Windows that allows DLL hijacking, enabling a user to trigger the execution of arbitrary code every time the product is executed. This issue can lead to the execution of malicious code, potentially compromising the system.

The issue allows stored Cross-site Scripting (XSS) attacks in several locations, enabling an attacker to store a JavaScript payload. This can lead to the execution of malicious scripts on the client-side.

An issue was discovered in the API, which is prone to XML external entity (XXE) injection via a remote DTD in a DOCX file. This occurs when processing a DOCX file containing a malicious DTD.

An issue was discovered in the API, which is prone to XML external entity (XXE) injection via a remote DTD in a DOCX file.

An issue was discovered in the API, which is prone to XML external entity (XXE) injection via a remote DTD in a DOCX file. This allows for potential exploitation.

The issue is related to a service exposed by the application that accepts a user-controlled parameter used to create an SQL query, making it prone to SQL injection. No information is provided about the estimated number of potentially affected devices worldwide or real-world incidents where this issue was exploited.

An issue was discovered in the application where a service exposed allows a basic user to access the profile information of all connected users.

An issue was discovered in the application where a service allows a basic user to cancel or delete a booking created by someone else, even if the basic user is not a member of the booking.