Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
Каталог Справка открывает раздел документации по каталогам.
Уязвимости CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-290
Authentication Bypass by Spoofing
This attack-focused weakness is caused by incorrectly implemented authentication schemes that are subject to spoofing attacks.
| Тип уязвимости: | Не зависит от других уязвимостей |
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2015-02869 | Уязвимость библиотеки XML Security Library, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2018-01534 | Уязвимость браузера Safari, вызванная неправильной обработкой Unicode символов, повзоляющая нарушителю осуществить подмену содержимого ресурса с помощью омографической атаки |
| BDU:2019-01731 | Уязвимость компонента Агент Dr.Web средства антивирусной защиты Dr.Web Enterprise Security Suite, позволяющая нарушителю выполнять системные команды |
| BDU:2019-02042 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить привилегии |
| BDU:2019-02571 | Уязвимость обработчика Javascript-сценариев пакета программ Microsoft Office, позволяющая нарушителю читать или записывать произвольные данные |
| BDU:2019-03731 | Уязвимость веб-браузеров Microsoft Edge и Internet Explorer, связанная с недостатками обработки cookie файлов, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-03824 | Уязвимость обработчика сетевого трафика ZingBox Inspector, существующая из-за отсутствия защиты от подмены ARP-информации, позволяющая нарушителю повысить свои привилегии |
| BDU:2019-04305 | Уязвимость браузера Firefox, вызванная отсутствием предупреждения о смешанном содержимом, когда компонент веб-страницы favicon загружается через HTTP, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04422 | Уязвимость компонента Omnibox браузера Google Chrome, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04450 | Уязвимость программно-аппаратной платформы Microsoft Azure Stack, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04646 | Уязвимость браузеров Internet Explorer и Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2019-04704 | Уязвимость спецификации доменной аутентификации сообщений, отчетности и соответствия opendmark, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к информации и нарушить ее целостность... |
| BDU:2020-00125 | Уязвимость HTTP-обработчика программной платформы SAP UI5, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2020-01784 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01786 | Уязвимость адресной строки Omnibox браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01787 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01791 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01792 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-03080 | Уязвимость программы для управления и мониторинга ИТ-сервисов System Center Operations Manager, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2020-03085 | Уязвимость поисковой системы Microsoft Bing Search for Android, связанная с некорректной обработкой содержимого HTML-страниц, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2020-03348 | Уязвимость операционной системы Cisco NX-OS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-03810 | Уязвимость программного комплекса защиты конечных точек GlobalProtect for Windows, связанная с ошибками подтверждения подлинности сертификата, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2021-00474 | Уязвимость реализации протокола согласования ключей шифрования Bluetooth BR/EDR, связанная с недостатками процедуры аутентификации, позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации |
| BDU:2021-00964 | Уязвимость компонента Page Info веб-браузера Google Chrome, позволяющая нарушителю проводить спуфинг-атаки с помощью специально созданного запроса |
| BDU:2021-02115 | Уязвимость реализации функции автозаполнения Autofill браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-02116 | Уязвимость реализации функции автозаполнения Autofill браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-04133 | Уязвимость средства разработки Kalay P2P SDK, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скомпрометировать устройства IoT и получить несанкционированный доступ к защищаемой информации |
| BDU:2021-04178 | Уязвимость компонента AuthFilter программной платформы Nacos, позволяющая нарушителю повысить свои привилегии |
| BDU:2021-06081 | Уязвимость компонента автодополнения Autofill браузера Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2021-06129 | Уязвимость браузера Microsoft Edge для операционной системы iOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2021-06426 | Уязвимость реализации функции автозаполнения Autofill браузера Microsoft Edge, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-00312 | Уязвимость программного средства для взаимодействия с серверами CURL, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2022-00884 | Уязвимость универсальной системы мониторинга Zabbix , связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-01096 | Уязвимость пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server Subscription Edition, Microsoft SharePoint Enterprise Server, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-01515 | Уязвимость установщика Microsoft App Installer, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-02882 | Уязвимость метода интерфейса LSARPC компонента Windows LSA операционной системы Windows, позволяющая нарушителю реализовать атаку "человек посередине" |
| BDU:2022-03010 | Уязвимость облачного API-шлюза Apache APISIX, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-03044 | Уязвимость браузера Microsoft Edge для операционной системы iOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-03200 | Уязвимость инструмента автоматизации развертывания приложений в Kubernetes ArgoCD, связанная с отсутствием защиты служебных данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2022-03220 | Уязвимость симулятора программного средства программирования ПЛК EcoStruxure Control Expert, системы автоматизации Process Expert, программного средства конфигурирования SCADAPack RemoteConnect и микропрограммного обеспечения программируемых логическ... |
| BDU:2022-03583 | Уязвимость браузера Yandex Browser Lite для Android, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю подменить значение адресной строки |
| BDU:2022-03584 | Уязвимость браузера Yandex Browser Lite для Android, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю подменить значение адресной строки |
| BDU:2022-03990 | Уязвимость программного обеспечения устройства для маркировки бюллетеней ImageCast X, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-04313 | Уязвимость программного средства администрирования безопасности Schneider Electric EcoStruxure Cybersecurity Admin Expert (CAE), связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-05941 | Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR и почтового клиента Thunderbird, связанная с неверным ограничением визуализируемых слоев или фреймов пользовательского интерфейса, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-05987 | Уязвимость реализации протокола инкапсуляции Ethernet, связанная с возможностью объединения заголовков, позволяющая нарушителю вызвать отказ в обслуживании или реализовать атаку "человек посередине" (MITM) |
| BDU:2022-06333 | Уязвимость веб-интерфейса операционной системы PAN-OS централизованной системы управления межсетевыми экранами Palo Alto Networks Panorama, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-06889 | Уязвимость подсистемы инициализации и управления службами Systemd, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06982 | Уязвимость интерфейса программирования приложений Windows CryptoAPI операционных систем Windows, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-07011 | Уязвимость реализации протокола сетевой аутентификации NT LAN Manager (NTLM) операционной системы Windows, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2023-00803 | Уязвимость реализации функции GOT Mobile программного обеспечения для графических панелей управления Mitsubishi Electric серии GOT2000 моделей GT27 и GT25 и HMI-платформы GT SoftGOT2000, позволяющая нарушителю получить несанкционированный доступ к за... |
| BDU:2023-03343 | Уязвимость веб-инструмента представления данных Grafana, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить полный доступ к учетной записи пользователя |
| BDU:2023-03408 | Уязвимость операционных систем сетевых хранилищ My Cloud OS, связанная с с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к пользовательским данным и выполнить произвольный код |
| BDU:2023-03522 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-03523 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-03524 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-05215 | Уязвимость компонента Networking программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю получить доступ на изменение, добавление или удаление данных |
| BDU:2023-06187 | Уязвимость программного обеспечения проверки подлинности и анализа электронных писем OpenDMARC, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2023-06880 | Уязвимость средства межсетевого экранирования Sangfor NGAF, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю обойти процесс аутентификации |
| BDU:2023-07269 | Уязвимость программного средства создания виртуальных HTTP-сервисов WireMock, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти установленный контроль доступа |
| BDU:2024-00324 | Уязвимость механизма защиты паролем загрузчика операционных систем Grub2, позволяющая нарушителю обойти установленный контроль доступа |
| BDU:2024-00927 | Уязвимость реализации протокола LDAP веб-приложения для развёртывания распределённых социальных сетей Mastodon, позволяющая нарушителю обойти процедуру аутентификации |
| BDU:2024-01103 | Уязвимость утилиты для оптимизации процедур автоматического обновления драйверов BIOS Lenovo Vantage Service, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код с повышенными привилегиями |
| BDU:2024-01408 | Уязвимость функции контроля доступа системы обнаружения вторжений Snort, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-01995 | Уязвимость программного средства управления проектами и задачами JetBrains YouTrack, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю создать комментарии от произвольного пользователя |
| BDU:2024-02622 | Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с обходом аутентификации путем спуфинга, позволяющая нарушителю получить несанкционированный доступ к информации и нарушить ее целостность и доступность |
| BDU:2024-04299 | Уязвимость системы для запуска и управления большими языковыми моделями (LLM) Ollama, связанная с использованием обратного разрешения DNS для IP-адресов, позволяющая нарушителю осуществить атаку перепривязывания DNS (DNS Rebinding) или вызвать отказ... |
| BDU:2024-04405 | Уязвимость метода Register программного средства сквозного управления отчётами Telerik Report Server, позволяющая нарушителю получить доступ к ограниченным функциям |
| BDU:2024-04494 | Уязвимость программного средства для сбора информации о состоянии и производительности приложений, работающих на платформе OpenShift, OpenShift Telemeter, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанк... |
| BDU:2024-04673 | Уязвимость функции контроля доступа системы обнаружения вторжений Snort, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-05306 | Уязвимость микропрограммного обеспечения промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-05553 | Уязвимость модуля единого входа в приложения (SAML) программного средства создания, управления и развертывания инфраструктурных облачных сервисов Apache CloudStack, позволяющая нарушителю обойти процесс аутентификации и получить полный доступ к учетн... |
| BDU:2024-05586 | Уязвимость промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-05587 | Уязвимость промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-07065 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-07624 | Уязвимость навигации веб-браузера Google Chrome, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании |
| BDU:2024-07862 | Уязвимость консоли управления Ivanti Workspace Control, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-08867 | Уязвимость функции группы сетевых служб (NSG) микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance и Cisco Firepower Threat Defense, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-09148 | Уязвимость серверного программного обеспечения HAProxy, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти функциональность списка разрешенных/блокированных IP-адресов |
| BDU:2024-09417 | Уязвимость компонента IPAuthenticationProvider централизованной службы для поддержки информации о конфигурации, именования, обеспечения распределенной синхронизации и предоставления групповых служб Apache ZooKeeper, позволяющая нарушителю обойти проц... |
| BDU:2024-09456 | Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживани... |
| BDU:2024-09482 | Уязвимость компонента haproxy-boshrelease платформы для многооблачных приложений Cloud Foundry, позволяющая нарушителю обойти проверку подлинности mTLS |
| BDU:2024-09662 | Уязвимость программы-загрузчика операционных систем GRUB, связанная с обходом аутентификации по средствам спуфинга, позволяющая нарушителю обойти процесс аутентификации и повысить свои привилегии в системе |
| BDU:2024-10606 | Уязвимость облачной платформы управления ИТ-инфраструктурой OvrC Pro, связанная с обходом аутентификации по средствам спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-10815 | Уязвимость брандмауэра AnyConnect микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-10825 | Уязвимость брандмауэра AnyConnect микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-10866 | Уязвимость механизма аутентификации Single sign-on (SSO) универсальной системы мониторинга Zabbix, позволяющая нарушителю обойти существующие ограничения безопасности и повысить свои привилегии |
| BDU:2024-10902 | Уязвимость алгоритма Диффи-Хеллмана микропрограммного обеспечения программируемых логических контроллеров (ПЛК) Schneider Electric Modicon M340 CPU BMXP34, позволяющая нарушителю реализовать атаку типа "человек посередине" |
| BDU:2025-00202 | Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird, связанная с недостатками процедуры аутентификации, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-00713 | Уязвимость функции Navigation браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00748 | Уязвимость компонента Frames браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00749 | Уязвимость реализации прикладного программного интерфейса браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00751 | Уязвимость компонента Payments браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00755 | Уязвимость компонента Extensions (Расширения) браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00972 | Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2025-00973 | Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2025-01198 | Уязвимость интерфейса программного средства управления проектами и задачами JetBrains YouTrack, позволяющая нарушителю обойти процесс аутентификации и получить полный доступ к учетной записи произвольного пользователя |
| BDU:2025-01635 | Уязвимость облачного сервиса распознавания и анализа лиц с использованием технологий искусственного интеллекта Microsoft Azure AI Face Service, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-04019 | Уязвимость высокопроизводительной серверной системы HPE Cray XD670, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05249 | Уязвимость метода Arrays.equals() СУБД Apache Hive, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05734 | Уязвимость почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-06461 | Уязвимость элемента управления вкладками "Tab Strip" браузера Google Chrome, позволяющая нарушителю подменить пользовательский интерфейс |
| BDU:2025-06789 | Уязвимость шлюза интеграции с ЕСИА ESIA-Bridge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-07173 | Уязвимость микропрограммного обеспечения контроллеров удаленного управления серверами AMI MegaRAC SP-X, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность з... |
| BDU:2025-07528 | Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-09422 | Уязвимость операционных систем Dell EMC Data Domain Operating System (DD OS), связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти существующие ограничения безопасности и оказать воздействие на конфиденциальность, це... |
| BDU:2025-09510 | Уязвимость операционных систем iOS и iPadOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-09527 | Уязвимость микропрограммного обеспечения маршрутизаторов D-Link DHP-W310AV, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю реализовать атаку "человек посередине" |
| BDU:2025-09779 | Уязвимость программной платформы управления сетевой инфраструктурой Versa Director, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю перенаправить отправку OTP-паролей и получить несанкционированный доступ к системе |
| BDU:2025-09938 | Уязвимость механизма обработки файлов cookie веб-браузера Google Chrome, связанная с недостатками процедуры аутентификации, позволяющая нарушителю повысить свои привилегии и получить cookie-файлы |
| BDU:2025-10471 | Уязвимость операционной системы IBM i, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-11377 | Уязвимость компонента WebAuthn браузера Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-13734 | Уязвимость программного обеспечения управления ИТ-инфраструктурой Microsoft Configuration Manager, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-13992 | Уязвимость программного обеспечения для удалённого доступа и управления AnyDesk, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2025-14556 | Уязвимость прокси-сервера OAuth2-Proxy, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-15245 | Уязвимость компонента Downloads браузера Google Chrome, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2025-15246 | Уязвимость компонента Downloads браузера Google Chrome, позволяющая нарушителю выполнить подмену пользовательского интерфейса |
| BDU:2025-15247 | Уязвимость компонента Split View браузера Google Chrome, позволяющая нарушителю выполнить подмену пользовательского интерфейса |
| BDU:2025-16356 | Уязвимость компонента Downloads Panel браузера Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-16470 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю присоединиться к произвольным организациям |
| BDU:2026-00016 | Уязвимость браузера Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2026-00280 | Уязвимость компонента JWT Signing Key Handler программного обеспечения OneLogin AD Connector, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2026-01009 | Уязвимость модуля TDDP микропрограммного обеспечения маршрутизаторов TP-Link Archer C20 и Archer AX53, позволяющая нарушителю выполнить произвольные команды |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2017-14003 | An Authentication Bypass by Spoofing issue was discovered in LAVA Ether-Serial Link (ESL) running firmware versions 6.01.00/2... |
| CVE-2018-15715 | Zoom clients on Windows (before version 4.1.34814.1119), Mac OS (before version 4.1.34801.1116), and Linux (2.4.129780.0915 a... |
| CVE-2019-16766 | 2FA bypass in Wagtail through new device path |
| CVE-2019-18259 | In Omron PLC CJ series, all versions and Omron PLC CS series, all versions, an attacker could spoof arbitrary messages or exe... |
| CVE-2019-3775 | UAA allows users to modify their own email address |
| CVE-2019-3884 | A vulnerability exists in the garbage collection mechanism of atomic-openshift. An attacker able spoof the UUID of a valid ob... |
| CVE-2020-10136 | IP-in-IP protocol allows a remote, unauthenticated attacker to route arbitrary network traffic |
| CVE-2020-11015 | Device Authentication Vulnerability in thinx-device-api IoT Device Management Server |
| CVE-2020-13529 | An exploitable denial-of-service vulnerability exists in Systemd 245. A specially crafted DHCP FORCERENEW packet can cause a... |
| CVE-2020-17516 | Apache Cassandra versions 2.1.0 to 2.1.22, 2.2.0 to 2.2.19, 3.0.0 to 3.0.23, and 3.11.0 to 3.11.9, when using 'dc' or 'rack'... |
| CVE-2020-2002 | PAN-OS: Spoofed Kerberos key distribution center authentication bypass |
| CVE-2020-2033 | GlobalProtect App: Missing certificate validation vulnerability can disclose pre-logon authentication cookie |
| CVE-2020-26254 | omniauth-apple allows attacker to fake their email address during authentication |
| CVE-2020-26276 | SAML authentication vulnerability in Fleet |
| CVE-2020-27276 | SOOIL Developments Co Ltd DiabecareRS,AnyDana-i & AnyDana-A, the communication protocol of the insulin pump and its AnyDana-i... |
| CVE-2020-5415 | Concourse's GitLab auth allows impersonation |
| CVE-2020-7326 | McAfee MAR - Improperly implemented security check |
| CVE-2020-7327 | McAfee MVEDR - Improperly implemented security check |
| CVE-2020-7388 | Sage X3 AdxAdmin Unauthenticated Command Execution Bypass by Spoofing |
| CVE-2021-20278 | An authentication bypass vulnerability was found in Kiali in versions before 1.31.0 when the authentication strategy `OpenID`... |
| CVE-2021-21310 | Token verification bug in next-auth |
| CVE-2021-21492 | SAP NetWeaver Application Server Java(HTTP Service), versions - 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, does not sufficient... |
| CVE-2021-22779 | Authentication Bypass by Spoofing vulnerability exists in EcoStruxure Control Expert (all versions prior to V15.0 SP1, includ... |
| CVE-2021-27853 | L2 network filtering can be bypassed using stacked VLAN0 and LLC/SNAP headers |
| CVE-2021-27854 | L2 network filtering bypass using stacked VLAN0, LLC/SNAP headers, and Ethernet to Wifi frame translation |
| CVE-2021-27861 | L2 network filtering bypass using stacked VLAN0 and LLC/SNAP headers with invalid lengths |
| CVE-2021-27862 | L2 network filtering bypass using stacked VLAN0 and LLC/SNAP headers with an invalid length during Ethernet to Wifi frame tra... |
| CVE-2021-28810 | Vulnerability in Roon Server |
| CVE-2021-29441 | Authentication bypass |
| CVE-2021-32076 | Access Restriction bypass vulnerability via referrer spoof - Business Logic Bypass |
| CVE-2021-32631 | JSON Web Tokens not properly verified |
| CVE-2021-34646 | Booster for WooCommerce <= 5.4.3 Authentication Bypass |
| CVE-2021-41130 | X-Endpoint-API-UserInfo can be spoofed in cloudendpoints Extensible Service Proxy |
| CVE-2021-43310 | A vulnerability in Keylime before 6.3.0 allows an attacker to craft a request to the agent that resets the U and V keys as if... |
| CVE-2021-43807 | HTTP Method Spoofing in Opencast |
| CVE-2021-45036 | Velneo vClient improper authentication |
| CVE-2022-0030 | PAN-OS: Authentication Bypass in Web Interface |
| CVE-2022-1601 | User Access Manager < 2.2.18 - IP Spoofing |
| CVE-2022-1745 | 2.2.7 AUTHENTICATION BYPASS BY SPOOFING CWE-290 |
| CVE-2022-1762 | iQ Block Country < 1.2.20 - Protection Bypass due to IP Spoofing |
| CVE-2022-2310 | Skyhigh SWG Authentication bypass vulnerability |
| CVE-2022-23131 | Unsafe client-side session storage leading to authentication bypass/instance takeover via Zabbix Frontend with configured SAM... |
| CVE-2022-2368 | Authentication Bypass by Spoofing in microweber/microweber |
| CVE-2022-23949 | In Keylime before 6.3.0, unsanitized UUIDs can be passed by a rogue agent and can lead to log spoofing on the verifier and re... |
| CVE-2022-24112 | apisix/batch-requests plugin allows overwriting the X-REAL-IP header |
| CVE-2022-24858 | Default redirect callback vulnerable to open redirects |
| CVE-2022-25989 | An authentication bypass vulnerability exists in the libxm_av.so getpeermac() functionality of Anker Eufy Homebase 2 2.1.8.5h... |
| CVE-2022-29165 | Argo CD will blindly trust JWT claims if anonymous access is enabled |
| CVE-2022-29218 | Unauthorized takeover for new versions of some platform-specific gems |
| CVE-2022-31149 | ActivityWatch vulnerable to DNS rebinding attack |
| CVE-2022-3180 | WPGateway <= 3.5 - Unauthenticated Privilege Escalation |
| CVE-2022-32744 | A flaw was found in Samba. The KDC accepts kpasswd requests encrypted with any key known to it. By encrypting forged kpasswd... |
| CVE-2022-32747 | A CWE-290: Authentication Bypass by Spoofing vulnerability exists that could cause legitimate users to be locked out of devic... |
| CVE-2022-35957 | Authentication Bypass in Grafana via auth proxy allowing escalation from admin to server admin |
| CVE-2022-36331 | Impersonation attack causing an Authentication Bypass on Western Digital devices |
| CVE-2022-39227 | Python-jwt subject to Authentication Bypass by Spoofing |
| CVE-2022-40269 | Authentication Bypass by Spoofing vulnerability in Mitsubishi Electric Corporation GOT2000 Series GT27 model versions 01.14.0... |
| CVE-2022-4098 | Wiesemann & Theis: Multiple products prone to missing authentication through spoofing |
| CVE-2022-4303 | WP Limit Login Attempts <= 2.6.4 - IP Spoofing |
| CVE-2022-4550 | User Activity <= 1.0.1 - IP Spoofing |
| CVE-2022-4746 | FluentAuth < 1.0.2 - Bypass blocks by IP Spoofing |
| CVE-2022-48513 | Vulnerability of identity verification being bypassed in the Gallery module. Successful exploitation of this vulnerability ma... |
| CVE-2023-0816 | Formidable Forms < 6.1 - IP Spoofing |
| CVE-2023-20245 | Multiple vulnerabilities in the per-user-override feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firep... |
| CVE-2023-20246 | Multiple Cisco products are affected by a vulnerability in Snort access control policies that could allow an unauthenticated,... |
| CVE-2023-20256 | Multiple vulnerabilities in the per-user-override feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firep... |
| CVE-2023-22474 | Parse Server is vulnerable to authentication bypass via spoofing |
| CVE-2023-22814 | Authentication Bypass issue in My Cloud OS 5 devices |
| CVE-2023-2807 | Authentication bypass in password reset process |
| CVE-2023-28803 | Traffic being bypassed by ZCC by configuring synthetic IP range as local network |
| CVE-2023-2887 | User Authentication Bypass in CBOT's Chatbot |
| CVE-2023-30803 | Sangfor Next-Gen Application Firewall Authentication Bypass |
| CVE-2023-30950 | CVE-2023-30950 |
| CVE-2023-3103 | Authentication Bypass by Spoofing in Unitree Robotics A1 |
| CVE-2023-3128 | Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and ca... |
| CVE-2023-31424 | Web authentication and authorization bypass |
| CVE-2023-3243 | ** UNSUPPORTED WHEN ASSIGNED ** [An attacker can capture an authenticating hash and utilize it to create new sessions. The h... |
| CVE-2023-34329 | Authentication Bypass via HTTP Header Spoofing |
| CVE-2023-37865 | WordPress IP2Location Country Blocker plugin <= 2.29.1 - IP Bypass Vulnerability vulnerability |
| CVE-2023-4001 | Grub2: bypass the grub password protection feature |
| CVE-2023-40356 | PingOne MFA Integration Kit MFA bypass |
| CVE-2023-40702 | PingOne MFA Integration Kit MFA bypass |
| CVE-2023-41133 | WordPress Secure Admin IP plugin <= 2.0 - IP Spoofing vulnerability |
| CVE-2023-41134 | WordPress Antispam Bee plugin <= 2.11.3 - Country IP Restriction Bypass vulnerability |
| CVE-2023-41329 | Domain restrictions bypass via DNS Rebinding in WireMock and WireMock Studio |
| CVE-2023-4178 | Authentication Bypass in Neutron Smart VMS |
| CVE-2023-4279 | User Activity Log < 1.6.7 - IP Spoofing |
| CVE-2023-4281 | Activity Log < 2.8.8 - IP Spoofing |
| CVE-2023-44117 | Vulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability... |
| CVE-2023-44447 | TP-Link TL-WR902AC loginFs Improper Authentication Information Disclosure Vulnerability |
| CVE-2023-4566 | Vulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability... |
| CVE-2023-4631 | DoLogin Security < 3.7 - IP Spoofing |
| CVE-2023-47769 | WordPress WP Maintenance plugin <= 6.1.3 - IP Filtering Bypass vulnerability |
| CVE-2023-48271 | WordPress Maspik – Spam Blacklist plugin <= 0.10.3 - IP Filtering Bypass vulnerability |
| CVE-2023-48396 | Apache SeaTunnel Web: Authentication bypass |
| CVE-2023-48753 | WordPress Restricted Site Access plugin <= 7.4.1 - IP Restriction Bypass vulnerability |
| CVE-2023-49741 | WordPress Coming soon and Maintenance mode plugin <= 3.7.3 - IP Filtering Bypass vulnerability |
| CVE-2023-49794 | The logic of get apk path in KernelSU module can be bypassed |
| CVE-2023-50224 | TP-Link TL-WR841N dropbearpwd Improper Authentication Information Disclosure Vulnerability |
| CVE-2023-5133 | User Activity Log Pro < 2.3.4 - IP Spoofing |
| CVE-2023-51542 | WordPress Branda plugin <= 3.4.14 - IP Restriction Bypass vulnerability |
| CVE-2023-51543 | WordPress RegistrationMagic plugin <= 5.2.5.0 - IP Limit Bypass vulnerability |
| CVE-2023-51667 | WordPress Rate my Post – WP Rating System plugin <= 3.4.2 - Broken Access Control vulnerability |
| CVE-2023-52176 | WordPress Malware Scanner plugin <= 4.7.1 - IP Restriction Bypass vulnerability |
| CVE-2023-5239 | Security & Malware scan by CleanTalk < 2.121 - IP Spoofing |
| CVE-2023-5801 | Vulnerability of identity verification being bypassed in the face unlock module. Successful exploitation of this vulnerabilit... |
| CVE-2023-6044 | A privilege escalation vulnerability was reported in Lenovo Vantage that could allow a local attacker with physical access to... |
| CVE-2023-6263 | Server Spoofing Vulnerability in NxCloud |
| CVE-2023-7169 | Impersonate vendor signed Powershell scripts |
| CVE-2024-0454 | Security Vulnerability on Match-on-Chip FPR Architecture |
| CVE-2024-0868 | coreActivity < 2.1 - Unauthenticated IP Spoofing |
| CVE-2024-0970 | User Activity Tracking and Log < 4.1.4 - IP Spoofing |
| CVE-2024-10125 | Lack of JWT issuer and signer validation |
| CVE-2024-12108 | WhatsUp Gold - Public API signing key rotation issue |
| CVE-2024-13061 | 2100 Technology Electronic Official Document Management System - Authentication Bypass |
| CVE-2024-1347 | Authentication Bypass by Spoofing in GitLab |
| CVE-2024-13685 | Admin and Site Enhancements (ASE) < 7.6.10 - Limit Login Attempt Bypass via IP Spoofing |
| CVE-2024-20297 | Cisco Adaptive Security Appliance and Firepower Threat Defense AnyConnect Access Control List Bypass Vulnerability |
| CVE-2024-20299 | Cisco Adaptive Security Appliance and Firepower Threat Defense AnyConnect Access Control List Bypass Vulnerability |
| CVE-2024-20363 | Multiple Cisco products are affected by a vulnerability in the Snort Intrusion Prevention System (IPS) rule engine that could... |
| CVE-2024-20384 | A vulnerability in the Network Service Group (NSG) feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Fire... |
| CVE-2024-21746 | WordPress Wp Ultimate Review plugin <= 2.3.2 - IP limit Bypass vulnerability |
| CVE-2024-22092 | Bundlemanager has an authentication bypass vulnerability |
| CVE-2024-22139 | WordPress WordPress Manutenção plugin <= 1.0.6 - Bypass vulnerability |
| CVE-2024-22457 | Dell Secure Connect Gateway 5.20 contains an improper authentication vulnerability during the SRS to SCG update path. A remot... |
| CVE-2024-23832 | Mastodon Remote user impersonation and takeover |
| CVE-2024-25595 | WordPress Defender Security plugin <= 4.4.1 - IP Restriction Bypass vulnerability |
| CVE-2024-25906 | WordPress Comments Like Dislike plugin <= 1.2.2 - IP Restriction Bypass Vulnerability vulnerability |
| CVE-2024-27349 | Apache HugeGraph-Server: Bypass whitelist in Auth mode |
| CVE-2024-29006 | Apache CloudStack: x-forwarded-for HTTP header parsed by default |
| CVE-2024-30189 | A vulnerability has been identified in SCALANCE W721-1 RJ45 (6GK5721-1FC00-0AA0) (All versions), SCALANCE W721-1 RJ45 (6GK572... |
| CVE-2024-30190 | A vulnerability has been identified in SCALANCE W1748-1 M12 (6GK5748-1GY01-0AA0), SCALANCE W1748-1 M12 (6GK5748-1GY01-0TA0),... |
| CVE-2024-30191 | A vulnerability has been identified in SCALANCE W1748-1 M12 (6GK5748-1GY01-0AA0), SCALANCE W1748-1 M12 (6GK5748-1GY01-0TA0),... |
| CVE-2024-30479 | WordPress LionScripts: IP Blocker Lite plugin <= 11.1.1 - Bypass vulnerability |
| CVE-2024-30480 | WordPress CGC Maintenance Mode plugin <= 1.2 - IP Filtering Bypass vulnerability |
| CVE-2024-3050 | Site Reviews < 7.0.0 - IP Spoofing |
| CVE-2024-30522 | WordPress Newsletter plugin <= 8.2.0 - IP Blacklist Bypass vulnerability |
| CVE-2024-31863 | Apache Zeppelin: Replacing other users notebook, bypassing any permissions |
| CVE-2024-32708 | WordPress Maintenance Mode plugin <= 3.0.1 - IP Bypass vulnerability |
| CVE-2024-32786 | WordPress Royal Elementor Addons and Templates plugin <= 1.3.93 - IP Bypass vulnerability |
| CVE-2024-32827 | WordPress Giveaways and Contests by RafflePress plugin <= 1.12.7 - IP Restriction Bypass vulnerability |
| CVE-2024-32977 | OctoPrint Authentication Bypass via X-Forwarded-For Header when autologinLocal is enabled |
| CVE-2024-33917 | WordPress WTI Like Post plugin <= 1.4.6 - IP Restriction Bypass Vulnerability vulnerability |
| CVE-2024-35749 | WordPress Under Construction / Maintenance Mode from Acurax plugin <= 2.6 - IP Bypass vulnerability |
| CVE-2024-36466 | Unauthenticated Zabbix frontend takeover when SSO is being used |
| CVE-2024-37082 | When deploying Cloud Foundry together with the haproxy-boshrelease and using a non default configuration, it might be possibl... |
| CVE-2024-37430 | WordPress Patreon WordPress plugin <= 1.9.0 - Image Protection Bypass vulnerability |
| CVE-2024-39350 | A vulnerability regarding authentication bypass by spoofing is found in the RTSP functionality. This allows man-in-the-middle... |
| CVE-2024-41107 | Apache CloudStack: SAML Signature Exclusion |
| CVE-2024-4358 | Registration Authentication Bypass Vulnerability |
| CVE-2024-44104 | An incorrectly implemented authentication scheme that is subjected to a spoofing attack in the management console of Ivanti W... |
| CVE-2024-45453 | WordPress Maintenance Redirect plugin <= 2.0.1 - IP Bypass vulnerability |
| CVE-2024-5037 | Openshift/telemeter: iss check during jwt authentication can be bypassed |
| CVE-2024-50380 | Authentication Bypass by Spoofing in Snap One OVRC cloud |
| CVE-2024-51504 | Apache ZooKeeper: Authentication bypass with IP-based authentication in Admin Server |
| CVE-2024-53862 | Argo Workflows Allows Access to Archived Workflows with Fake Token in `client` mode |
| CVE-2024-54085 | Redfish Authentication Bypass |
| CVE-2024-55925 | API Security bypass through header manipulation |
| CVE-2024-5812 | Smart Rule Overwrite Bypass in BeyondInsight PasswordSafe |
| CVE-2024-58124 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58125 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58126 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58127 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-6163 | local IP restriction of internal HTTP endpoints |
| CVE-2024-6678 | Authentication Bypass by Spoofing in GitLab |
| CVE-2024-7745 | Multi-Factor Authentication Bypass in Progress WS_FTP Server |
| CVE-2024-8901 | Lack of JWT issuer and signer validation |
| CVE-2024-8935 | CWE-290: Authentication Bypass by Spoofing vulnerability exists that could cause a denial of service and loss of confidential... |
| CVE-2025-1104 | D-Link DHP-W310AV authentication spoofing |
| CVE-2025-11843 | Therefore™ Online and Therefore™ On-Premises contains an account impersonation issue, which could potentially allow the attac... |
| CVE-2025-1298 | Logic vulnerability in the mobile application (com.transsion.carlcare) may lead to the risk of account takeover. |
| CVE-2025-21415 | Azure AI Face Service Elevation of Privilege Vulnerability |
| CVE-2025-22223 | Spring Security 6.4.0 - 6.4.3 may not correctly locate method security annotations on parameterized types or methods. This ma... |
| CVE-2025-22271 | IP Spoofing in CyberArk Endpoint Privilege Manager |
| CVE-2025-24628 | WordPress reCaptcha by BestWebSoft Plugin <= 1.78 - Captcha Bypass vulnerability |
| CVE-2025-25055 | Authentication bypass by spoofing issue exists in FileMegane versions above 1.0.0.0 prior to 3.4.0.0, which may lead to user... |
| CVE-2025-25182 | Stroom Authentication/Authorization Bypass when using AWS ALB |
| CVE-2025-27616 | Vela Server has Insufficient Webhook Payload Data Verification |
| CVE-2025-27695 | Dell Wyse Management Suite, versions prior to WMS 5.1 contain an Authentication Bypass by Spoofing vulnerability. A high priv... |
| CVE-2025-30144 | Fast-JWT Improperly Validates iss Claims |
| CVE-2025-31122 | scratch-coding-hut.github.io Login Links Generation vulnerability |
| CVE-2025-31170 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2025-32012 | Jellyfin Vulnerable to Denial of Service (DoS) via IP Spoofing |
| CVE-2025-32227 | WordPress Asgaros Forum plugin <= 3.0.0 - File Upload Numbers Bypass vulnerability |
| CVE-2025-32275 | WordPress Survey Maker plugin <= 5.1.5.4 - Bypass vulnerability |
| CVE-2025-32788 | OctoPrint Authenticated Reverse Proxy Page Authentication Bypass |
| CVE-2025-32966 | Dataease H2 JDBC Connection Remote Code Execution |
| CVE-2025-34053 | AVTECH IP camera, DVR, and NVR Devices Authentication Bypass via .cab Path Manipulation |
| CVE-2025-34063 | OneLogin AD Connector JWT Authentication Bypass via Exposed Signing Key |
| CVE-2025-34065 | AVTECH IP camera, DVR, and NVR Devices Authentication Bypass via /nobody URL Path |
| CVE-2025-36119 | IBM i authentication bypass |
| CVE-2025-36594 | Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.3.0.15,... |
| CVE-2025-46345 | Auth0 Account Link Extension JWT Invalid Signature Validation |
| CVE-2025-48027 | The HttpAuth plugin in pGina.Fork through 3.9.9.12 allows authentication bypass when an adversary controls DNS resolution for... |
| CVE-2025-48906 | Authentication bypass vulnerability in the DSoftBus module Impact: Successful exploitation of this vulnerability may affect a... |
| CVE-2025-48937 | matrix-sdk-crypto vulnerable to sender of encrypted events being spoofed by homeserver administrator |
| CVE-2025-49002 | Dataease H2 Database Remote Code Execution (RCE) Bypass Vulnerability |
| CVE-2025-49004 | Hijacking Caido instance during the initial setup via DNS Rebinding to achieve RCE |
| CVE-2025-54288 | Source Container Identification Vulnerability via cmdline Spoofing in devLXD Server |
| CVE-2025-54576 | OAuth2-Proxy has authentication bypass in oauth2-proxy skip_auth_routes due to Query Parameter inclusion |
| CVE-2025-58595 | WordPress All In One Login plugin <= 2.0.8 - Bypass Vulnerability vulnerability |
| CVE-2025-59154 | Openfire allows potential identity spoofing via unsafe CN parsing |
| CVE-2025-59385 | QTS, QuTS hero |
| CVE-2025-59501 | Microsoft Configuration Manager Spoofing Vulnerability |
| CVE-2025-61778 | Akka.Remote TLS did not properly implement certificate-based authentication |
| CVE-2025-62235 | Apache Mynewt NimBLE: Incorrect handling of SMP Security Request could lead to undesirable pairing |
| CVE-2025-66270 | The KDE Connect protocol 8 before 2025-11-28 does not correlate device IDs across two packets. This affects KDE Connect befor... |
| CVE-2025-66507 | 1Panel – CAPTCHA Bypass via Client-Controlled Flag |
| CVE-2025-66508 | 1Panel IP Access Control Bypass via Untrusted X-Forwarded-For Headers |
| CVE-2025-66570 | cpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*) |
| CVE-2025-68644 | Yealink RPS before 2025-06-27 allows unauthorized access to information, including AutoP URL addresses. This was fixed by dep... |
| CVE-2025-69203 | Signal K Server Vulnerable to Access Request Spoofing |
| CVE-2025-69258 | A LoadLibraryEX vulnerability in Trend Micro Apex Central could allow an unauthenticated remote attacker to load an attacker-... |
| CVE-2025-69401 | WordPress WooODT Lite plugin <= 2.5.2 - Payment Bypass Vulnerability vulnerability |
| CVE-2025-7448 | Man in the middle (MitM) attack vulnerability in Wi-SUN library |
| CVE-2025-8853 | 2100 Technology｜Official Document Management System - Authentication Bypass |
| CVE-2025-9265 | API Authentication Bypass via Header Spoofing vulnerability in Kiloview NDI N30 Products |
| CVE-2026-0834 | Logic Vulnerability on TP-Link Archer C20 and Archer AX53 |
| CVE-2026-21862 | RustFS sourceIp bypass via spoofed X-Forwarded-For/Real-IP headers |
| CVE-2026-21894 | n8n's Missing Stripe-Signature Verification Allows Unauthenticated Forged Webhooks |
| CVE-2026-22199 | wpDiscuz before 7.6.47 - Vote Manipulation via Nonce Oracle and IP Rotation |
| CVE-2026-22797 | An issue was discovered in OpenStack keystonemiddleware 10.5 through 10.7 before 10.7.2, 10.8 and 10.9 before 10.9.1, and 10.... |
| CVE-2026-24853 | Caido has an insufficient patch for DNS rebind leading to RCE |
| CVE-2026-25938 | FUXA Unauthenticated Remote Code Execution in Node-RED Integration |
| CVE-2026-27478 | Unity Catalog has a JWT Issuer Validation Bypass Allows Complete User Impersonation |
| CVE-2026-27700 | Hono is Vulnerable to Authentication Bypass by IP Spoofing in AWS Lambda ALB conninfo |
| CVE-2026-28465 | OpenClaw voice-call < 2026.2.3 - Webhook Verification Bypass via Forwarded Headers |
| CVE-2026-28480 | OpenClaw < 2026.2.14 - Identity Spoofing via Mutable Username in Telegram Allowlist Authorization |
| CVE-2026-31813 | Supabase Auth has insecure Apple and Azure authentication with ID tokens |
| CVE-2026-31889 | Shopware has a potential take over of app credentials |
| CVE-2026-32229 | In JetBrains Hub before 2026.1 possible on sign-in account mismatch with non-SSO auth and 2FA disabled |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20241111-16 | 11.11.2024 | Выполнение произвольного кода в Apache ZooKeeper |
| VULN:20250618-91 | 18.06.2025 | Обход безопасности в Siemens SIMATIC IPC RS-828A |
| VULN:20260302-26 | 02.03.2026 | Получение конфиденциальной информации в Mozilla Firefox и Thunderbird |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.