Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-116
CWE-116: Improper Encoding or Escaping of Output
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2020-02036 | Уязвимость компонента программного средства для реализации гипертекстовой среды MediaWiki, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2020-03850 | Уязвимость механизма безопасности выполнения макросов пакета офисных программ LibreOffice, позволяющая нарушителю получить несанкционированный доступ к конфиденциальным данным, вызвать отказ в обслуживании или оказать воздействие на целостность данны... |
| BDU:2021-00084 | Уязвимость графической оболочки fly-qdm, связанная с экранированием выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2021-01353 | Уязвимость множества функций класса PHPMailer библиотеки PHPMailer, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2021-01772 | Уязвимость сообщений userrights-expiry-current и userrights-expiry-none программного средства для реализации гипертекстовой среды MediaWiki, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю получ... |
| BDU:2021-02951 | Уязвимость модульной библиотеки для упрощения разработки основанных на JavaScript или AJAX приложений и сайтов Dojo Toolkit, связанная с некорректным кодированием или сокрытием выходных данных, позволяющая нарушителю оказать воздействие на конфиденци... |
| BDU:2021-03738 | Уязвимость метода HTTP запроса языка программирования Python, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным и нарушить их целостность |
| BDU:2021-04453 | Уязвимость системы управления контентом ExponentCMS, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2022-00279 | Уязвимость модуля URI системы управления конфигурациями Ansible, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2022-00669 | Уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS for HIS распределенных систем управления CENTUM VP и CENTUM VP Entry Class и OPC-сервера Exaopc, позволяющая нарушителю вызвать отказ в обслуживании или изменить л... |
| BDU:2022-01661 | Уязвимость реализации XML DOM XMLDOM, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2022-01838 | Уязвимость системы управления базами данных MongoDB, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2022-02142 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2022-04933 | Уязвимость компонента software/apt-lib.pl панели управления хостингом Webmin, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-06884 | Уязвимость программной платформы для управления административными политиками и привилегиями Policykit, связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным,... |
| BDU:2023-00696 | Уязвимость утилиты для текстовых терминалов UNIX-подобных систем Less, связанная с некорректной фильтрацией встроенных последовательностей ANSI при обработке элемента -R, позволяющая нарушителю повысить свои привилегии |
| BDU:2023-01304 | Уязвимость системы управления сетью NetAct, связанная связана с отсутствием проверки ввода при создании рабочего набора (working set), позволяющая нарушителю выполнить произвольный JavaScript-код |
| BDU:2023-03419 | Уязвимость SCADA-систем EcoStruxure Geo SCADA Expert 2020, EcoStruxure Geo SCADA Expert 2019, EcoStruxure Geo SCADA Expert 2021, ClearSCADA, позволяющая нарушителю произвольно вставлять текстовые записи в файлы журнала или заполнять файлы журнала нев... |
| BDU:2023-03866 | Уязвимость программы системного администрирования Sudo, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2023-03867 | Уязвимость программы системного администрирования Sudo, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2023-04172 | Уязвимость микропрограммного обеспечения программируемых логических контроллеров Honeywell Experion PKS, измерительно-вычислительных и управляющих контроллеров Experion LX и распределительной системы управления Experion PlantCruise, позволяющая наруш... |
| BDU:2023-04199 | Уязвимость прокси-сервера Envoy, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2023-04401 | Уязвимость компонента Referrer Policy программы для создания и управления обучающими материалами SAP Enable Now, позволяющая нарушителю обойти существующие ограничения безопасности и раскрыть защищаемую информацию |
| BDU:2023-04407 | Уязвимость платформы управления программными средами SAP Solution Manager (Diagnostics agent), связанная с недостатком механизма кодирование или экранирование выходных данных, позволяющая выполнить провести атаку межсайтового скриптинга (XSS) |
| BDU:2023-07852 | Уязвимость функции check_privacy_settings плагина WordPress GDPR системы управления содержимым сайта WordPress, позволяющая нарушителю провести атаку межсайтового скриптинга (XSS) |
| BDU:2023-08302 | Уязвимость средства пересылки событий системного журнала IBM QRadar WinCollect Agent, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю выполнить произвольные действия |
| BDU:2023-08621 | Уязвимость эмулятора терминала для операционной системы macOS iTerm2, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2023-08622 | Уязвимость эмулятора терминала для операционной системы macOS iTerm2, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-01256 | Уязвимость компонентов org.xwiki.platform:xwiki-platform-web и org.xwiki.platform:xwiki-platform-web-templates платформы создания совместных веб-приложений XWiki Platform XWiki, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-01561 | Уязвимость компонента ansible-core системы управления конфигурациями Red Hat Ansible, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2024-02092 | Уязвимость программного обеспечения управления и мониторинга сетей и оборудования FOXMAN-UN и UNEM, связанная с недостатком механизма кодирования или экранирования выходных, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2024-03597 | Уязвимость класса JsonErrorReportValve сервера приложений Apache Tomcat, позволяющая нарушителю оказать влияние на целостность защищаемой информации |
| BDU:2024-03775 | Уязвимость фреймворка Apache Maven, связанная с неправильным кодированием или экранированием вывода, позволяющая нарушителю проводить атаки внедрения кода в командную оболочку |
| BDU:2024-04133 | Уязвимость файлового архиватора WinRAR, связанная с ошибками при обработке входных данных, позволяющая нарушителю вызвать отказ в обслуживании или подменять вывод на экран |
| BDU:2024-04882 | Уязвимость компонента App инструмента для управления приложениями и средами Flatpak, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2024-04936 | Уязвимость функции mod_rewrite веб-сервера Apache HTTP Server, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-05482 | Уязвимость веб-клиента IBM Datacap Navigator программного обеспечения для сбора и обработки документов IBM Datacap, связанная с недостатками обработки HTTP-запросов, позволяющая нарушителю реализовать межсайтовые сценарные атаки, атаки отравления кэш... |
| BDU:2024-05512 | Уязвимость функции proc_open() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольные команды |
| BDU:2024-05603 | Уязвимость службы анализатора белого списка хостов в прокси-службе сервера GravityZone, позволяющая нарушителю осуществить SSRF-атаку |
| BDU:2024-06037 | Уязвимость функции hfy-istext-command текстового редактора EMACS, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-06162 | Уязвимость веб-интерфейса программной платформы на базе git для совместной работы над кодом GitLab, позволяющая нарушителю оказать влияние на целостность защищаемой информации |
| BDU:2024-06593 | Уязвимость функции mod_rewrite веб-сервера Apache HTTP Server, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-06827 | Уязвимость установщика приложений Microsoft App Installer, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2024-06893 | Уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в... |
| BDU:2024-07922 | Уязвимость функция AI программной платформы на базе git для совместной работы над кодом GitLab, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2024-08147 | Уязвимость платформы для разработки и доставки контейнерных приложений Docker Desktop, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-09879 | Уязвимость инструмента настройки сервисов Consul Community Edition и Consul Enterprise, связанная с непринятием мер по нейтрализации заголовков HTTP для синтаксиса сценариев, позволяющая нарушителю получить достпу к конфиденциальной информации |
| BDU:2024-11310 | Уязвимость шаблона getdocument.vm платформы создания совместных веб-приложений XWiki Platform XWiki, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных |
| BDU:2025-00175 | Уязвимость файла setup.php веб-приложения для администрирования систем управления базами данных phpMyAdmin, позволяющая нарушителю выполнить произвольный PHP-код |
| BDU:2025-00769 | Уязвимость функции renderToString() JavaScript-библиотеки для рендеринга математических выражений KaTeX, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-01175 | Уязвимость компонента ANSI Escape Sequence Handler распределенной системы управления версиями Git, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-01177 | Уязвимость распределенной системы управления версиями Git, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-02194 | Уязвимость распределенной системы управления версиями Git, связанная с неправильным экранированием выходных данных, позволяющая нарушителю получить доступ на чтение, изменение или удаление данных или выполнить произвольный код |
| BDU:2025-02544 | Уязвимость платформы защищённого обмена данными MFlash, связанная с отсутствием нейтрализации элементов для файлов CSV, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-02935 | Уязвимость системного подключаемого модуля операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и сервера корпоративного уровня Synology Unified Controller, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-03298 | Уязвимость функции mod_dav_svn программного обеспечения Apache Subversion, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-03789 | Уязвимость редактора математических формул MathLive, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю проводить межсайтовые сценарные атаки |
| BDU:2025-03798 | Уязвимость компонента webapi операционных систем Synology BeeStation Manager (BSM), Synology DiskStation Manager (DSM) и Synology BeeStation OS, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-04224 | Уязвимость платформы для защищённого обмена данными MFlash, связанная с недостатком механизма экранирование выходных данных, используемых при формировании CSV-файла, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступно... |
| BDU:2025-04798 | Уязвимость демона Sampling Route Record Daemon (SRRD) операционной системы Juniper Networks Junos OS, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05354 | Уязвимость компонента org.xwiki.platform:xwiki-platform-security-requiredrights-default платформы создания совместных веб-приложений XWiki Platform, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой ин... |
| BDU:2025-05388 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab Enterprise Edition, связанная с неверной нейтрализацией особых элементов в выходных данных, позволяющая нарушителю обойти существующие ограничения безопасности и полу... |
| BDU:2025-05707 | Уязвимость сервера приложений Apache Tomcat, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2025-05911 | Уязвимость программного обеспечения централизованного управления резервным копированием и восстановлением данных Dell PowerProtect Data Manager, связанная с недостатками механизма кодирования или экранирования выходных данных, позволяющая нарушителю... |
| BDU:2025-06228 | Уязвимость функции предварительного просмотре ответа набора инструментов для веб-разработки DevTools браузера Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю обойти защитный механизм CSP (Content Security Policy) |
| BDU:2025-06323 | Уязвимость платформы для обеспечения безопасности данных IBM Guardium Data Protection , связанная с некорректным кодированием или сокрытием выходных данных, позволяющая нарушителю загружать произвольные файлы |
| BDU:2025-07728 | Уязвимость браузеров Mozilla Firefox, Firefox ESR, связанная с неправильным кодированием или экранированием выходных данных, позволяющая нарушителю обойти существующие ограничения безопасности и перенаправить пользователя на другой веб-сайт |
| BDU:2025-10509 | Уязвимость компонента Copy as cURL Handler браузера Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-11445 | Уязвимость функции proc_open() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольные команды |
| BDU:2025-13154 | Уязвимость функции FeedUtils::formatDiffRow2() компонента Feed Utils программного средства для реализации гипертекстовой среды MediaWiki, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-13292 | Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с некорректным кодированием или сокрытием выходных данных, позволяющая нарушителю проводить межсайтовые сценарные атаки (XSS) |
| BDU:2025-13293 | Уязвимость функции Copy as cURL браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-14662 | Уязвимость файлового сервера SolarWinds Serv-U File Server, связанная с неправильным кодированием или экранированием выходных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-15676 | Уязвимость компонента xfs ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-15832 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с некорректным кодированием или экранированием выходных данных, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-15872 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с некорректным кодированием или экранированием выходных данных, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-15898 | Уязвимость платформы бизнес-аналитики SAP BusinessObjects Business Intelligence, связанная с неправильным кодированием или экранированием выходных данных, позволяющая нарушителю осуществить SSRF-атаку |
| BDU:2025-15913 | Уязвимость микропрограммного обеспечения маршрутизатора ZTE MC889A Pro, связанная с недостатками механизма кодирования или экранирования выходных данных, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-16316 | Уязвимость модуля проверки стилей HTML почтового клиента RoundCube Webmail, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2018-8920 | Improper neutralization of escape vulnerability in Log Exporter in Synology DiskStation Manager (DSM) before 6.1.6-15266 allo... |
| CVE-2019-3571 | An input validation issue affected WhatsApp Desktop versions prior to 0.3.3793 which allows malicious clients to send files t... |
| CVE-2019-9852 | Insufficient URL encoding flaw in allowed script location check |
| CVE-2019-9853 | Insufficient URL decoding flaw in categorizing macro location |
| CVE-2020-26226 | Secret disclosure in semantic-release |
| CVE-2020-26283 | Control character injection in console output |
| CVE-2020-29023 | CSV Formula Injection possible due to improper fields escaping in GateManager |
| CVE-2021-23205 | Improper Encoding or Escaping in Gallagher Command Centre Server allows a Command Centre Operator to alter the configuration... |
| CVE-2021-25254 | Yandex Browser Lite for Android before 21.1.0 allows remote attackers to spoof the address bar. |
| CVE-2021-25262 | Yandex Browser for Android prior to version 21.3.0 allows remote attackers to perform IDN homograph attack. |
| CVE-2021-32679 | Filenames not escaped by default in controllers using DownloadResponse |
| CVE-2021-32796 | Misinterpretation of malicious XML input in xmldom |
| CVE-2021-32812 | Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') and Improper Encoding or Escaping of Out... |
| CVE-2021-34630 | Reflected XSS in GTranslate Pro and GTranslate Enterprise < 2.8.65 |
| CVE-2021-39170 | Improper Encoding or Escaping of Output in Asset Metadata Component |
| CVE-2021-41132 | Inconsistent input sanitisation leads to XSS vectors |
| CVE-2021-41191 | API giving out files without key |
| CVE-2021-47694 | Nagios XI < 5.8.6 Core Config Manager (CCM) Reflected XSS via Test Command |
| CVE-2022-0220 | WordPress GDPR & CCPA < 1.9.27 - Unauthenticated Reflected Cross-Site Scripting |
| CVE-2022-0421 | Five Star Restaurant Reservations < 2.4.12 - Unauthenticated Arbitrary Payment Status Update to Stored XSS |
| CVE-2022-0450 | Menu Image, Icons made easy < 3.0.8 - Subscriber+ Stored Cross-Site Scripting |
| CVE-2022-2099 | WooCommerce < 6.6.0 - Admin+ Stored HTML Injection |
| CVE-2022-2241 | Featured Image from URL < 4.0.0 - Arbitrary Settings Update to Stored XSS via CSRF |
| CVE-2022-22734 | Simple Quotation <= 1.3.2 - Quote Creation/Edition via CSRF to Stored Cross-Site Scripting |
| CVE-2022-23079 | motoradmin - host header Injection in the reset password functionality |
| CVE-2022-29251 | Cross-site Scripting in the Flamingo theme manager |
| CVE-2022-29252 | Cross-site Scripting in XWiki Platform Wiki UI Main Wiki |
| CVE-2022-29258 | Cross-site Scripting in Filter Stream Converter Application in XWiki Platform |
| CVE-2022-29599 | Commandline class shell injection vulnerabilities |
| CVE-2022-45143 | Apache Tomcat: JsonErrorReportValve escaping |
| CVE-2023-2200 | Improper Encoding or Escaping of Output in GitLab |
| CVE-2023-24480 | Controller stack overflow when decoding messages from the server |
| CVE-2023-26279 | IBM QRadar WinCollect Agent improper output encoding |
| CVE-2023-26472 | XWiki Platform vulnerable to privilege escalation via async macro and IconThemeSheet from the user profile |
| CVE-2023-28101 | Flatpak metadata with ANSI control codes can cause misleading terminal output |
| CVE-2023-28733 | Stored XSS affecting the AcyMailing plugin for Joomla |
| CVE-2023-3190 | Improper Encoding or Escaping of Output in nilsteampassnet/teampass |
| CVE-2023-32071 | XWiki Platform vulnerable to RXSS via editor parameter - importinline template |
| CVE-2023-32301 | Discourse's canonical url not being used for topic embeddings |
| CVE-2023-3481 | XSS in Chrome Lab Critters |
| CVE-2023-3552 | Improper Encoding or Escaping of Output in nilsteampassnet/teampass |
| CVE-2023-35941 | Envoy vulnerable to OAuth2 credentials exploit with permanent validity |
| CVE-2023-3668 | Improper Encoding or Escaping of Output in froxlor/froxlor |
| CVE-2023-37875 | Cross-Site Scripting Vulnerability in Wing FTP Server <= 7.2.0 |
| CVE-2023-39527 | PrestaShop XSS vulnerability through Validate::isCleanHTML method |
| CVE-2023-40014 | OpenZeppelin Contracts's ERC2771Context with custom forwarder may lead to zero-valued _msgSender |
| CVE-2023-4393 | HTML and SMTP Injection in LiquidFiles |
| CVE-2023-45135 | XWiki users can be tricked to execute scripts as the create page action doesn't display the page's title |
| CVE-2024-10441 | Improper encoding or escaping of output vulnerability in the system plugin daemon in Synology BeeStation OS (BSM) before 1.1-... |
| CVE-2024-1874 | Command injection via array-ish $command parameter of proc_open() |
| CVE-2024-22199 | Django Template Engine Vulnerable to XSS |
| CVE-2024-27938 | SMTP Smuggling in Postal |
| CVE-2024-28245 | KaTeX's \includegraphics does not escape filename |
| CVE-2024-29894 | Cacti Cross-site Scripting vulnerability when using JavaScript based messaging API |
| CVE-2024-31866 | Apache Zeppelin: Interpreter download command does not escape malicious code injection |
| CVE-2024-34355 | TYPO3 vulnerable to an HTML Injection in the History Module |
| CVE-2024-34715 | Partial Password Exposure Vulnerability in Fides Webserver Logs |
| CVE-2024-35225 | Jupyter Server Proxy has a reflected XSS issue in host parameter |
| CVE-2024-38177 | Windows App Installer Spoofing Vulnerability |
| CVE-2024-38473 | Apache HTTP Server proxy encoding problem |
| CVE-2024-38474 | Apache HTTP Server weakness with encoded question marks in backreferences |
| CVE-2024-38475 | Apache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path. |
| CVE-2024-39682 | WordPress Cooked Plugin - Authenticated (Contributor+) HTML Injection via Recipe Excerpt |
| CVE-2024-4099 | Improper Encoding or Escaping of Output in GitLab |
| CVE-2024-4177 | Host whitelist parser issue in GravityZone Console On-Premise (VA-11554) |
| CVE-2024-4420 | Denial of Service in Tink-cc |
| CVE-2024-45299 | alf.io's preloaded data as json is not escaped correctly |
| CVE-2024-45498 | Apache Airflow: Command Injection in an example DAG |
| CVE-2024-46901 | Apache Subversion: mod_dav_svn denial-of-service via control characters in paths |
| CVE-2024-47528 | LibreNMS Contains a Stored XSS via File Upload |
| CVE-2024-47531 | Scout contains insufficient output escaping of attachment names |
| CVE-2024-47845 | CSS sanitizer used incorrectly, and is easily bypassed |
| CVE-2024-50349 | Git does not sanitize URLs when asking for credentials interactively |
| CVE-2024-50629 | Improper encoding or escaping of output vulnerability in the webapi component in Synology BeeStation OS (BSM) before 1.1-6537... |
| CVE-2024-52005 | The sideband payload is passed unfiltered to the terminal in git |
| CVE-2024-52006 | Newline confusion in credential helpers can lead to credential exfiltration in git |
| CVE-2024-55663 | XWiki Platform has an SQL injection in getdocuments.vm with sort parameter |
| CVE-2024-5585 | Command injection via array-ish $command parameter of proc_open() (bypass CVE-2024-1874 fix) |
| CVE-2024-56277 | WordPress Poll Maker Plugin < 5.5.5 - HTML Injection vulnerability |
| CVE-2024-58266 | The shlex crate before 1.2.1 for Rust allows unquoted and unescaped instances of the { and \xa0 characters, which may facilit... |
| CVE-2024-6329 | Improper Encoding or Escaping of Output in GitLab |
| CVE-2024-7873 | Stored XSS in Veribilim Software's Veribase Order Management |
| CVE-2024-9427 | Koji: escape html tag characters in the query string |
| CVE-2025-0607 | HTML Injection in Logo Software's Logo Cloud |
| CVE-2025-11085 | FactoryTalk® DataMosaix™ Private Cloud – Persistent XSS |
| CVE-2025-1308 | PX Backup Improper Sanitization Vulnerability |
| CVE-2025-23207 | \htmlData does not validate attribute names in KaTeX |
| CVE-2025-23377 | Dell PowerProtect Data Manager Reporting, version(s) 19.17, 19.18 contain(s) an Improper Encoding or Escaping of Output vulne... |
| CVE-2025-24025 | Coolify Vulnerable to Reflected XSS on Tag Search |
| CVE-2025-25029 | IBM Security Guardium information disclosure |
| CVE-2025-27108 | Cross-site Scripting vulnerability due to improper use of string.replace in dom-expressions |
| CVE-2025-27109 | Lack of Escaping of HTML in JSX Fragments allows for Cross-site Scripting in solid-js |
| CVE-2025-30345 | An issue was discovered in OpenSlides before 4.2.5. When creating new chats via the chat_group.create action, the user is abl... |
| CVE-2025-30657 | Junos OS: Processing of a specific BGP update causes the SRRD process to crash |
| CVE-2025-31651 | Apache Tomcat: Bypass of rules in Rewrite Valve |
| CVE-2025-32072 | HTML injection in feed output from i18n message |
| CVE-2025-32074 | XSSes in Extension:ConfirmAccount |
| CVE-2025-32078 | XSSes and potential RCE in Special:VersionCompare |
| CVE-2025-32974 | org.xwiki.platform:xwiki-platform-security-requiredrights-default required rights analysis doesn't consider TextAreas with de... |
| CVE-2025-34141 | ETQ Reliance CG < SE.2025.1 Reflected XSS in `SQLConverterServlet` |
| CVE-2025-46340 | Misskey CSS Style Injection Vulnerability In `MkUrlPreview` |
| CVE-2025-46347 | YesWiki Remote Code Execution via Arbitrary PHP File Write and Execution |
| CVE-2025-46583 | DOS Vulnerability in ZTE MC889A Pro product |
| CVE-2025-46703 | Potential XSS in Extension:AtMentions |
| CVE-2025-47280 | Umbraco.Forms has HTML injection vulnerability in 'Send email' workflow |
| CVE-2025-48007 | Potential XSS in Extension:BlueSpiceAvatars |
| CVE-2025-48062 | Discourse vulnerable to HTML injection when inviting to topic via email |
| CVE-2025-49013 | WilderForge vulnerable to code Injection via GitHub Actions Workflows |
| CVE-2025-55729 | XWiki Remote Macros vulnerable to remote code execution using the ConfluenceLayoutSection macro |
| CVE-2025-55730 | XWiki Remote Macros vulnerable to remote code execution using the confluence paste code macro |
| CVE-2025-57880 | Potential XSS in Extension:BlueSpiceWhoIsOnline |
| CVE-2025-59158 | Coolify has Stored XSS in Project Name |
| CVE-2025-59936 | get-jwks poisoned JWKS cache allows post-fetch issuer validation bypass |
| CVE-2025-61773 | pyLoad CNL and captcha handlers allow code Injection via unsanitized parameters |
| CVE-2025-61912 | python-ldap Vulnerable to Improper Encoding or Escaping of Output and Improper Null Termination |
| CVE-2025-64325 | Emby Server is Vulnerable to Remote Code Execution Through XSS in Admin Dashboard |
| CVE-2025-66548 | Nextcloud Deck app allows to spoof file extensions by using RTLO characters |
| CVE-2025-68460 | Roundcube Webmail before 1.5.12 and 1.6 before 1.6.12 is prone to a information disclosure vulnerability in the HTML style sa... |
| CVE-2025-8276 | HTML Injection in Patika Global Technologies' HumanSuite |
| CVE-2025-8405 | Improper Encoding or Escaping of Output in GitLab |
| CVE-2025-9127 | PX Enterprise Improper Sanitization Vulnerability |
| CVE-2026-1011 | Stored Cross-Site Scripting in Altium Live Support Center Comment Endpoint |
| CVE-2026-22712 | ApprovedRevs allows bypassing the inline CSS sanitizer |
| CVE-2026-23880 | OnboardLite has stored Cross-site Scripting issue that may lead to admin Account Take Over |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240828-10 | 28.08.2024 | Получение конфиденциальной информации в Microsoft Windows App Installer |
| VULN:20250716-17 | 16.07.2025 | Получение конфиденциальной информации в Apache HTTP Server |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.