Yuji Tounai

A missing authentication for critical function vulnerability exists in baserCMS. If this vulnerability is exploited, a remote attacker may obtain sensitive information.

Nome do Software Vulnerável e Versões Afetadas: Versões do iroha Board 0.10.12 e anteriores Descrição: O problema está relacionado a uma falha de requisição direta, também conhecida como navegação forçada, que poderia permitir que um atacante que tenha feito login no produto afetado acessasse conteúdo não público. Recomendações: Para as versões 0.10.12 e anteriores, considere restringir o acesso a conteúdo sensível até que uma correção esteja disponível. Como solução temporária, limite as permissões do usuário para minimizar o risco de exploração. Evite usar o produto afetado para armazenamento de informações sensíveis até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Versões do iroha Board v0.10.12 e anteriores Descrição: Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF). Se um usuário acessar uma URL especialmente elaborada enquanto estiver autenticado no produto afetado, históricos de aprendizagem arbitrários poderão ser registrados. Recomendações: Para as versões do iroha Board v0.10.12 e anteriores, considere desabilitar o acesso à funcionalidade de registro de histórico de aprendizagem até que um patch esteja disponível. Restrinja o acesso ao produto afetado para minimizar o risco de exploração.

A falha permite que um atacante remoto não autenticado obtenha códigos de cupom devido a mensagens de erro contendo informações sensíveis. Isso afeta apenas produtos que utilizam o recurso de cupom.

Nome do Software Vulnerável e Versões Afetadas: Versões do LuxCal Web Calendar anteriores a 5.3.3M (versão MySQL) Versões do LuxCal Web Calendar anteriores a 5.3.3L (versão SQLite) Descrição: O problema refere-se a uma vulnerabilidade de falta de autenticação no arquivo dloader.php. Esta vulnerabilidade pode ser explorada para obter arquivos arbitrários em um servidor. Recomendações: Para versões anteriores a 5.3.3M (versão MySQL), atualize para a versão 5.3.3M ou posterior. Para versões anteriores a 5.3.3L (versão SQLite), atualize para a versão 5.3.3L ou posterior. Como medida temporária, considere restringir o acesso ao arquivo dloader.php até que uma correção seja aplicada.

Nome do Software Vulnerável e Versões Afetadas: Versões do LuxCal Web Calendar anteriores à 5.3.3M Versões do LuxCal Web Calendar anteriores à 5.3.3L Descrição: O problema refere-se a uma vulnerabilidade de path traversal no arquivo dloader.php. Esta vulnerabilidade pode ser explorada para obter arquivos arbitrários em um servidor. Recomendações: Para versões anteriores à 5.3.3M, atualize para a versão 5.3.3M ou posterior. Para versões anteriores à 5.3.3L, atualize para a versão 5.3.3L ou posterior. Como solução temporária, considere restringir o acesso ao arquivo dloader.php até que um patch esteja disponível.

Existe uma vulnerabilidade de cross-site scripting, permitindo que um script arbitrário seja executado no navegador web do usuário que acessou a página de gerenciamento do produto afetado. Isso pode ocorrer quando o usuário acessa a página de gerenciamento, potencialmente levando a ações não autorizadas.

O problema é causado pelo manuseio inadequado de metadados EXIF, resultando em uma vulnerabilidade de cross-site scripting. Quando uma imagem é renderizada e metadados EXIF manipulados são processados, um script arbitrário pode ser executado no navegador web.

A vulnerabilidade permite que um invasor remoto autenticado altere e/ou obtenha os dados do Memo devido a uma falha de autorização incorreta.

Existe uma vulnerabilidade de falsificação de URL que permite que um invasor force o administrador a acessar um site arbitrário ao clicar em um link no registro de auditoria, enviando uma solicitação especialmente criada para esse fim.

A vulnerabilidade permite que um invasor remoto autenticado exclua arquivos arbitrários no servidor devido a uma vulnerabilidade de traversal de caminho relativo.

A vulnerabilidade permite que um invasor remoto autenticado execute um script arbitrário no navegador do usuário conectado. Isso se deve a uma vulnerabilidade de cross-site scripting.

A stored cross-site scripting issue exists in the event handlers of the `pre` tags. If exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product.

A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user accessing the product.

A SQL injection issue allows a remote unauthenticated attacker to execute an arbitrary SQL command by sending a crafted request, potentially obtaining or altering information stored in the database.

The issue allows a remote unauthenticated attacker to execute arbitrary queries against the database and obtain or alter the information in it. This is achieved through a SQL injection vulnerability.

A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user who is using the product. This enables the attacker to perform actions on the user's web browser, potentially leading to unauthorized access or data theft.

The issue is related to an operation restriction bypass vulnerability in the MultiReport component of Cybozu Garoon, which is associated with inadequate access control. This vulnerability can be exploited by a remote authenticated attacker to alter the data of MultiReport, potentially impacting the integrity of protected information.

The issue allows a remote unauthenticated attacker to obtain information entered from forms created using the affected product, due to an exposure of private personal information to an unauthorized actor.

The issue allows a remote unauthenticated attacker to redirect a user to an arbitrary web site, potentially conducting a phishing attack by having the user access a specially crafted URL.