Yuji Tounai

A missing authentication for critical function vulnerability exists in baserCMS. If this vulnerability is exploited, a remote attacker may obtain sensitive information.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات iroha Board 0.10.12 والإصدارات الأقدم الوصف: تتعلق المشكلة بثغرة في الطلب المباشر، والمعروفة أيضًا باسم «التنقل القسري»، والتي قد تسمح لمهاجم قام بتسجيل الدخول إلى المنتج المتأثر بالوصول إلى محتوى غير عام. التوصيات: بالنسبة للإصدارات 0.10.12 والإصدارات الأقدم، يُنصح بتقييد الوصول إلى المحتوى الحساس حتى يتوفر تصحيح. كحل مؤقت، قم بتقييد أذونات المستخدم لتقليل مخاطر الاستغلال. تجنب استخدام المنتج المتأثر لتخزين المعلومات الحساسة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات iroha Board v0.10.12 والإصدارات الأقدم الوصف: توجد ثغرة أمنية تتعلق بتزوير الطلبات بين المواقع (CSRF). إذا قام مستخدم بالوصول إلى عنوان URL مصمم خصيصًا لهذا الغرض أثناء تسجيل دخوله إلى المنتج المتأثر، فقد يتم تسجيل سجلات تعلم عشوائية. التوصيات: بالنسبة لإصدارات iroha Board v0.10.12 والإصدارات الأقدم، يُنصح بتعطيل الوصول إلى وظيفة تسجيل سجل التعلم حتى يتوفر تصحيح. قم بتقييد الوصول إلى المنتج المتأثر لتقليل مخاطر الاستغلال.

تسمح هذه الثغرة لمهاجم بعيد غير مصدق بالحصول على أكواد القسائم بسبب رسائل الخطأ التي تحتوي على معلومات حساسة. ويؤثر ذلك فقط على المنتجات التي تستخدم ميزة القسائم.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات LuxCal Web Calendar الأقدم من 5.3.3M (إصدار MySQL) إصدارات LuxCal Web Calendar الأقدم من 5.3.3L (إصدار SQLite) الوصف: تتعلق المشكلة بثغرة أمنية ناجمة عن عدم وجود مصادقة في ملف dloader.php. يمكن استغلال هذه الثغرة للحصول على ملفات عشوائية على الخادم. التوصيات: بالنسبة للإصدارات الأقدم من 5.3.3M (إصدار MySQL)، قم بالتحديث إلى الإصدار 5.3.3M أو أحدث. بالنسبة للإصدارات الأقدم من 5.3.3L (إصدار SQLite)، قم بالتحديث إلى الإصدار 5.3.3L أو أحدث. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى ملف dloader.php حتى يتم تطبيق تصحيح.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات LuxCal Web Calendar الأقدم من 5.3.3M إصدارات LuxCal Web Calendar الأقدم من 5.3.3L الوصف: تتعلق المشكلة بثغرة أمنية تتعلق بـ«اجتياز المسار» في ملف dloader.php. يمكن استغلال هذه الثغرة للحصول على ملفات عشوائية على الخادم. التوصيات: بالنسبة للإصدارات الأقدم من 5.3.3M، قم بالتحديث إلى الإصدار 5.3.3M أو أحدث. بالنسبة للإصدارات الأقدم من 5.3.3L، قم بالتحديث إلى الإصدار 5.3.3L أو أحدث. كحل مؤقت، يُنصح بتقييد الوصول إلى ملف dloader.php حتى يتوفر تصحيح.

توجد ثغرة أمنية تتعلق بـ ”البرمجة النصية عبر المواقع“ (cross-site scripting)، مما يسمح بتنفيذ برنامج نصي تعسفي في متصفح الويب الخاص بالمستخدم الذي قام بالوصول إلى صفحة إدارة المنتج المتأثر. وقد يحدث ذلك عندما يصل المستخدم إلى صفحة الإدارة، مما قد يؤدي إلى إجراءات غير مصرح بها.

تنشأ المشكلة عن المعالجة غير السليمة لبيانات EXIF الوصفية، مما يؤدي إلى ثغرة أمنية تتعلق بالبرمجة النصية عبر المواقع (cross-site scripting). عند عرض صورة ومعالجة بيانات EXIF الوصفية التي تم التلاعب بها، يمكن تنفيذ برنامج نصي تعسفي في متصفح الويب.

The issue allows a remote authenticated attacker to alter and/or obtain the data of Memo due to an incorrect authorization vulnerability.

A URL spoofing issue exists, allowing an attacker to force the administrator to access an arbitrary website when clicking a link in the audit log by sending a specially crafted request.

The issue allows a remote authenticated attacker to delete arbitrary files on the server due to a relative path traversal vulnerability.

The issue allows a remote authenticated attacker to execute an arbitrary script on the logged-in user's web browser. This is due to a cross-site scripting vulnerability.

A stored cross-site scripting issue exists in the event handlers of the `pre` tags. If exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product.

A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user accessing the product.

A SQL injection issue allows a remote unauthenticated attacker to execute an arbitrary SQL command by sending a crafted request, potentially obtaining or altering information stored in the database.

The issue allows a remote unauthenticated attacker to execute arbitrary queries against the database and obtain or alter the information in it. This is achieved through a SQL injection vulnerability.

A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user who is using the product. This enables the attacker to perform actions on the user's web browser, potentially leading to unauthorized access or data theft.

The issue is related to an operation restriction bypass vulnerability in the MultiReport component of Cybozu Garoon, which is associated with inadequate access control. This vulnerability can be exploited by a remote authenticated attacker to alter the data of MultiReport, potentially impacting the integrity of protected information.

The issue allows a remote unauthenticated attacker to obtain information entered from forms created using the affected product, due to an exposure of private personal information to an unauthorized actor.

The issue allows a remote unauthenticated attacker to redirect a user to an arbitrary web site, potentially conducting a phishing attack by having the user access a specially crafted URL.