|
各大廠牌軟硬體高風險弱點摘要
|
| 廠牌 |
軟硬體型號 |
弱點數量 |
說明 |
CVE ID |
| djangoproject |
django |
1 |
如果 order_by 是來自 Web 應用程式客戶端的不信任輸入，則允許 QuerySet.order_by
SQL injection。 |
CVE-2021-35042
|
| just-safe-set_project |
just-safe-set |
1 |
just-safe-set 版本 1.0.0 到 2.2.1中的原型污染弱點，允許攻擊者造成阻斷服務並可能導致遠端程式碼執行。 |
CVE-2021-25952
|
| kaseya |
vsa |
1 |
9.5.7 之前的 Kaseya VSA 允許披露憑證。 |
CVE-2021-30116
|
| mediawiki |
mediawiki |
1 |
在 MediaWiki 的 CentralAuth 擴展中發現了一個問題。 CentralAuth發布的抑制塊的自動塊未正確實施。 |
CVE-2021-36128
|
| mediawiki |
mediawiki |
1 |
在 MediaWiki 中的 AbuseFilter 擴展中發現了一個問題。 如果
MediaWiki:Abusefilter-blocker 消息在內容語言中無效，則過濾器用戶將退回到英文版本，但該英文版本在 wiki上也可能無效。 這將導致致命錯誤，並可能無法阻止或限制潛在的惡意用戶。 |
CVE-2021-36126
|
| microsoft |
windows_10 |
1 |
Windows Print Spooler 遠端程式碼執行弱點 |
CVE-2021-34527
|
| phplist |
phplist |
1 |
phplist 3.5.1 中的遠端程式碼執行弱點。 應用程式不會檢查外掛程式 zip文件中存儲的任何文件擴展名，上傳包含擴展名為 PHP、phtml、php7 的 php 文件的惡意外掛程式將被複製到 plugins目錄，這將導致遠端程式碼執行 |
CVE-2020-22249
|
| profilepress |
wp-user-avatar |
1 |
在 ProfilePress WordPress 外掛程式的
~/src/Classes/FileUploader.php
文件中發現的文件上傳元件中的一個弱點使得用戶可以在用戶註冊或配置文件更新期間上傳任意文件。 |
CVE-2021-34624
|
| profilepress |
wp-user-avatar |
1 |
ProfilePress WordPress 外掛程式的
~/src/Classes/RegistrationAuth.php 文件中的用戶註冊元件中存在一個弱點，使用戶可以以管理員身份在站點上註冊。 |
CVE-2021-34621
|
| profilepress |
wp-user-avatar |
1 |
在 ProfilePress WordPress 外掛程式的
~/src/Classes/ImageUploader.php
文件中發現的圖像上傳元件中的一個弱點使用戶可以在用戶註冊或配置文件更新期間上傳任意文件。 |
CVE-2021-34623
|
| record-like-deep-assign_project |
record-like-deep-assign |
1 |
所有版本的 package record-like-deep-assign 都容易通過主要功能受到Prototype Pollution 的影響。 |
CVE-2021-23402
|
| splinterware |
system_scheduler |
1 |
Splinterware System Scheduler Professional 5.30
版存在不安全的文件夾權限問題，影響服務“WindowsScheduler”調用其可執行文件的位置。
這允許非特權用戶以提升的特權（系統級特權為“nt authority\system”）執行任意程式碼，因為該服務作為本地系統運行。 |
CVE-2021-31771
|
| ts-nodash_project |
ts-nodash |
1 |
由於缺乏驗證輸入，所有版本的包 ts-nodash 都容易通過 Merge() 函數受到 Prototype
Pollution 的影響。 |
CVE-2021-23403
|
| zyxel |
usg1900_firmware |
1 |
Zyxel USG/Zywall 系列固件版本 4.35 至 4.64 和 USG Flex、ATP 和
VPN 系列固件版本 4.35 至 5.01 的基於 Web
的管理界面中的身份驗證繞過弱點，該弱點可能允許遠端攻擊者在受影響的設備上執行任意命令。 |
CVE-2021-35029
|