Gepubliceerde bevindingen uit Evaluris security research, met volledige verwijzingen naar de officiële CVE-records.
ICEcoder 8.1 bevat een ongeauthenticeerde remote code execution-kwetsbaarheid waarmee ongeauthenticeerde aanvallers willekeurige OS-commando's kunnen uitvoeren door een authenticatiebypass, CSRF-bypass en ongesaneerde commandouitvoering te combineren.
Onderzoekers: Adrian Gaitan, Saidakbarxon Maxsudxonov, Reju
Meerdere kwetsbaarheden in NASA fprime-gds tot en met 3.4.3 stellen een ongeauthenticeerde externe aanvaller in staat willekeurige code-uitvoering op de ground station-host te bereiken en willekeurige commando's naar verbonden spacecraft te injecteren.
Onderzoekers: Adrian Gaitan
Een cross-site request forgery (CSRF)-kwetsbaarheid in FreePBX Framework 17.0 stelt een ongeauthenticeerde externe aanvaller in staat administratieve acties uit te voeren namens een geauthenticeerde beheerder.
Onderzoekers: Adrian Gaitan
Een OS command injection-kwetsbaarheid in NASA HyperCP (main branch) stelt een netwerk-nabije aanvaller die responses van oceandata.sci.gsfc.nasa.gov kan onderscheppen of spoofen in staat willekeurige systeemcommando's uit te voeren op het werkstation van de onderzoeker.
Onderzoekers: Adrian Gaitan
sysPass FileBackupService bouwt een tar-shellcommando door een door de beheerder gecontroleerd backupdirectorypad in de commandoregel te concatenaten en uit te voeren zonder correcte escaping, waardoor geauthenticeerde OS command injection mogelijk is.
Onderzoekers: Reju Kole
Microweber CMS tot en met 2.0.20 bevat een server-side template injection-kwetsbaarheid waarmee geauthenticeerde beheerders willekeurige OS-commandouitvoering kunnen bereiken door Twig-expressies in mailtemplates te injecteren.
Onderzoekers: Reju Kole