Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-290
CWE-290: Authentication Bypass by Spoofing
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2015-02869 | Уязвимость библиотеки XML Security Library, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2018-01534 | Уязвимость браузера Safari, вызванная неправильной обработкой Unicode символов, повзоляющая нарушителю осуществить подмену содержимого ресурса с помощью омографической атаки |
| BDU:2019-01731 | Уязвимость компонента Агент Dr.Web средства антивирусной защиты Dr.Web Enterprise Security Suite, позволяющая нарушителю выполнять системные команды |
| BDU:2019-02042 | Уязвимость микропрограммного обеспечения программируемого логического контроллера Modicon, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить привилегии |
| BDU:2019-02571 | Уязвимость обработчика Javascript-сценариев пакета программ Microsoft Office, позволяющая нарушителю читать или записывать произвольные данные |
| BDU:2019-03731 | Уязвимость веб-браузеров Microsoft Edge и Internet Explorer, связанная с недостатками обработки cookie файлов, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-03824 | Уязвимость обработчика сетевого трафика ZingBox Inspector, существующая из-за отсутствия защиты от подмены ARP-информации, позволяющая нарушителю повысить свои привилегии |
| BDU:2019-04305 | Уязвимость браузера Firefox, вызванная отсутствием предупреждения о смешанном содержимом, когда компонент веб-страницы favicon загружается через HTTP, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04422 | Уязвимость компонента Omnibox браузера Google Chrome, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04450 | Уязвимость программно-аппаратной платформы Microsoft Azure Stack, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2019-04646 | Уязвимость браузеров Internet Explorer и Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к конфиденциальным данным |
| BDU:2019-04704 | Уязвимость спецификации доменной аутентификации сообщений, отчетности и соответствия opendmark, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к информации и нарушить ее целостность... |
| BDU:2020-00125 | Уязвимость HTTP-обработчика программной платформы SAP UI5, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2020-01784 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01786 | Уязвимость адресной строки Omnibox браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01787 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01791 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-01792 | Уязвимость браузера Google Chrome, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю нарушить целостность данных |
| BDU:2020-03080 | Уязвимость программы для управления и мониторинга ИТ-сервисов System Center Operations Manager, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2020-03085 | Уязвимость поисковой системы Microsoft Bing Search for Android, связанная с некорректной обработкой содержимого HTML-страниц, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2020-03348 | Уязвимость операционной системы Cisco NX-OS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2020-03810 | Уязвимость программного комплекса защиты конечных точек GlobalProtect for Windows, связанная с ошибками подтверждения подлинности сертификата, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2021-00474 | Уязвимость реализации протокола согласования ключей шифрования Bluetooth BR/EDR, связанная с недостатками процедуры аутентификации, позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации |
| BDU:2021-00964 | Уязвимость компонента Page Info веб-браузера Google Chrome, позволяющая нарушителю проводить спуфинг-атаки с помощью специально созданного запроса |
| BDU:2021-02115 | Уязвимость реализации функции автозаполнения Autofill браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-02116 | Уязвимость реализации функции автозаполнения Autofill браузеров Google Chrome и Microsoft Edge, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-04133 | Уязвимость средства разработки Kalay P2P SDK, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скомпрометировать устройства IoT и получить несанкционированный доступ к защищаемой информации |
| BDU:2021-04178 | Уязвимость компонента AuthFilter программной платформы Nacos, позволяющая нарушителю повысить свои привилегии |
| BDU:2021-06081 | Уязвимость компонента автодополнения Autofill браузера Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2021-06129 | Уязвимость браузера Microsoft Edge для операционной системы iOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2021-06426 | Уязвимость реализации функции автозаполнения Autofill браузера Microsoft Edge, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-00312 | Уязвимость программного средства для взаимодействия с серверами CURL, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2022-00884 | Уязвимость универсальной системы мониторинга Zabbix , связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-01096 | Уязвимость пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server Subscription Edition, Microsoft SharePoint Enterprise Server, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-01515 | Уязвимость установщика Microsoft App Installer, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-02882 | Уязвимость метода интерфейса LSARPC компонента Windows LSA операционной системы Windows, позволяющая нарушителю реализовать атаку "человек посередине" |
| BDU:2022-03010 | Уязвимость облачного API-шлюза Apache APISIX, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2022-03044 | Уязвимость браузера Microsoft Edge для операционной системы iOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-03200 | Уязвимость инструмента автоматизации развертывания приложений в Kubernetes ArgoCD, связанная с отсутствием защиты служебных данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации |
| BDU:2022-03220 | Уязвимость симулятора программного средства программирования ПЛК EcoStruxure Control Expert, системы автоматизации Process Expert, программного средства конфигурирования SCADAPack RemoteConnect и микропрограммного обеспечения программируемых логическ... |
| BDU:2022-03583 | Уязвимость браузера Yandex Browser Lite для Android, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю подменить значение адресной строки |
| BDU:2022-03584 | Уязвимость браузера Yandex Browser Lite для Android, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю подменить значение адресной строки |
| BDU:2022-03990 | Уязвимость программного обеспечения устройства для маркировки бюллетеней ImageCast X, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-04313 | Уязвимость программного средства администрирования безопасности Schneider Electric EcoStruxure Cybersecurity Admin Expert (CAE), связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-05941 | Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR и почтового клиента Thunderbird, связанная с неверным ограничением визуализируемых слоев или фреймов пользовательского интерфейса, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-05987 | Уязвимость реализации протокола инкапсуляции Ethernet, связанная с возможностью объединения заголовков, позволяющая нарушителю вызвать отказ в обслуживании или реализовать атаку "человек посередине" (MITM) |
| BDU:2022-06333 | Уязвимость веб-интерфейса операционной системы PAN-OS централизованной системы управления межсетевыми экранами Palo Alto Networks Panorama, позволяющая нарушителю повысить свои привилегии |
| BDU:2022-06889 | Уязвимость подсистемы инициализации и управления службами Systemd, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2022-06982 | Уязвимость интерфейса программирования приложений Windows CryptoAPI операционных систем Windows, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2022-07011 | Уязвимость реализации протокола сетевой аутентификации NT LAN Manager (NTLM) операционной системы Windows, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2023-00803 | Уязвимость реализации функции GOT Mobile программного обеспечения для графических панелей управления Mitsubishi Electric серии GOT2000 моделей GT27 и GT25 и HMI-платформы GT SoftGOT2000, позволяющая нарушителю получить несанкционированный доступ к за... |
| BDU:2023-03343 | Уязвимость веб-инструмента представления данных Grafana, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить полный доступ к учетной записи пользователя |
| BDU:2023-03408 | Уязвимость операционных систем сетевых хранилищ My Cloud OS, связанная с с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к пользовательским данным и выполнить произвольный код |
| BDU:2023-03522 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-03523 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-03524 | Уязвимость оболочки EMUI операционной системы HarmonyOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю скрывать ярлыки приложений на рабочем столе с целью предотвращения их удаления |
| BDU:2023-05215 | Уязвимость компонента Networking программной платформы Oracle Java SE и виртуальной машины Oracle GraalVM Enterprise Edition, позволяющая нарушителю получить доступ на изменение, добавление или удаление данных |
| BDU:2023-06187 | Уязвимость программного обеспечения проверки подлинности и анализа электронных писем OpenDMARC, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2023-06880 | Уязвимость средства межсетевого экранирования Sangfor NGAF, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю обойти процесс аутентификации |
| BDU:2023-07269 | Уязвимость программного средства создания виртуальных HTTP-сервисов WireMock, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти установленный контроль доступа |
| BDU:2024-00324 | Уязвимость механизма защиты паролем загрузчика операционных систем Grub2, позволяющая нарушителю обойти установленный контроль доступа |
| BDU:2024-00927 | Уязвимость реализации протокола LDAP веб-приложения для развёртывания распределённых социальных сетей Mastodon, позволяющая нарушителю обойти процедуру аутентификации |
| BDU:2024-01103 | Уязвимость утилиты для оптимизации процедур автоматического обновления драйверов BIOS Lenovo Vantage Service, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код с повышенными привилегиями |
| BDU:2024-01408 | Уязвимость функции контроля доступа системы обнаружения вторжений Snort, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-01995 | Уязвимость программного средства управления проектами и задачами JetBrains YouTrack, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю создать комментарии от произвольного пользователя |
| BDU:2024-02622 | Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с обходом аутентификации путем спуфинга, позволяющая нарушителю получить несанкционированный доступ к информации и нарушить ее целостность и доступность |
| BDU:2024-04299 | Уязвимость системы для запуска и управления большими языковыми моделями (LLM) Ollama, связанная с использованием обратного разрешения DNS для IP-адресов, позволяющая нарушителю осуществить атаку перепривязывания DNS (DNS Rebinding) или вызвать отказ... |
| BDU:2024-04405 | Уязвимость метода Register программного средства сквозного управления отчётами Telerik Report Server, позволяющая нарушителю получить доступ к ограниченным функциям |
| BDU:2024-04494 | Уязвимость программного средства для сбора информации о состоянии и производительности приложений, работающих на платформе OpenShift, OpenShift Telemeter, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанк... |
| BDU:2024-04673 | Уязвимость функции контроля доступа системы обнаружения вторжений Snort, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-05306 | Уязвимость микропрограммного обеспечения промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-05553 | Уязвимость модуля единого входа в приложения (SAML) программного средства создания, управления и развертывания инфраструктурных облачных сервисов Apache CloudStack, позволяющая нарушителю обойти процесс аутентификации и получить полный доступ к учетн... |
| BDU:2024-05586 | Уязвимость промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2024-05587 | Уязвимость промышленных коммутаторов Siemens SCALANCE, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-07065 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2024-07624 | Уязвимость навигации веб-браузера Google Chrome, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании |
| BDU:2024-07862 | Уязвимость консоли управления Ivanti Workspace Control, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2024-08867 | Уязвимость функции группы сетевых служб (NSG) микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance и Cisco Firepower Threat Defense, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-09148 | Уязвимость серверного программного обеспечения HAProxy, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти функциональность списка разрешенных/блокированных IP-адресов |
| BDU:2024-09417 | Уязвимость компонента IPAuthenticationProvider централизованной службы для поддержки информации о конфигурации, именования, обеспечения распределенной синхронизации и предоставления групповых служб Apache ZooKeeper, позволяющая нарушителю обойти проц... |
| BDU:2024-09456 | Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживани... |
| BDU:2024-09482 | Уязвимость компонента haproxy-boshrelease платформы для многооблачных приложений Cloud Foundry, позволяющая нарушителю обойти проверку подлинности mTLS |
| BDU:2024-09662 | Уязвимость программы-загрузчика операционных систем GRUB, связанная с обходом аутентификации по средствам спуфинга, позволяющая нарушителю обойти процесс аутентификации и повысить свои привилегии в системе |
| BDU:2024-10606 | Уязвимость облачной платформы управления ИТ-инфраструктурой OvrC Pro, связанная с обходом аутентификации по средствам спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2024-10815 | Уязвимость брандмауэра AnyConnect микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-10825 | Уязвимость брандмауэра AnyConnect микропрограммного обеспечения межсетевых экранов Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD), позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2024-10866 | Уязвимость механизма аутентификации Single sign-on (SSO) универсальной системы мониторинга Zabbix, позволяющая нарушителю обойти существующие ограничения безопасности и повысить свои привилегии |
| BDU:2024-10902 | Уязвимость алгоритма Диффи-Хеллмана микропрограммного обеспечения программируемых логических контроллеров (ПЛК) Schneider Electric Modicon M340 CPU BMXP34, позволяющая нарушителю реализовать атаку типа "человек посередине" |
| BDU:2025-00202 | Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird, связанная с недостатками процедуры аутентификации, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-00713 | Уязвимость функции Navigation браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00748 | Уязвимость компонента Frames браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00749 | Уязвимость реализации прикладного программного интерфейса браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00751 | Уязвимость компонента Payments браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00755 | Уязвимость компонента Extensions (Расширения) браузера Google Chrome и Microsoft Edge, позволяющая нарушителю обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса |
| BDU:2025-00972 | Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2025-00973 | Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность данных |
| BDU:2025-01198 | Уязвимость интерфейса программного средства управления проектами и задачами JetBrains YouTrack, позволяющая нарушителю обойти процесс аутентификации и получить полный доступ к учетной записи произвольного пользователя |
| BDU:2025-01635 | Уязвимость облачного сервиса распознавания и анализа лиц с использованием технологий искусственного интеллекта Microsoft Azure AI Face Service, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-04019 | Уязвимость высокопроизводительной серверной системы HPE Cray XD670, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05249 | Уязвимость метода Arrays.equals() СУБД Apache Hive, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-05734 | Уязвимость почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-06461 | Уязвимость элемента управления вкладками "Tab Strip" браузера Google Chrome, позволяющая нарушителю подменить пользовательский интерфейс |
| BDU:2025-06789 | Уязвимость шлюза интеграции с ЕСИА ESIA-Bridge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-07173 | Уязвимость микропрограммного обеспечения контроллеров удаленного управления серверами AMI MegaRAC SP-X, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность з... |
| BDU:2025-07528 | Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-09422 | Уязвимость операционных систем Dell EMC Data Domain Operating System (DD OS), связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю обойти существующие ограничения безопасности и оказать воздействие на конфиденциальность, це... |
| BDU:2025-09510 | Уязвимость операционных систем iOS и iPadOS, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-09527 | Уязвимость микропрограммного обеспечения маршрутизаторов D-Link DHP-W310AV, связанная с возможностью обхода механизма аутентификации, позволяющая нарушителю реализовать атаку "человек посередине" |
| BDU:2025-09779 | Уязвимость программной платформы управления сетевой инфраструктурой Versa Director, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю перенаправить отправку OTP-паролей и получить несанкционированный доступ к системе |
| BDU:2025-09938 | Уязвимость механизма обработки файлов cookie веб-браузера Google Chrome, связанная с недостатками процедуры аутентификации, позволяющая нарушителю повысить свои привилегии и получить cookie-файлы |
| BDU:2025-10471 | Уязвимость операционной системы IBM i, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2025-11377 | Уязвимость компонента WebAuthn браузера Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-13734 | Уязвимость программного обеспечения управления ИТ-инфраструктурой Microsoft Configuration Manager, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-13992 | Уязвимость программного обеспечения для удалённого доступа и управления AnyDesk, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю оказать воздействие на целостность защищаемой информации |
| BDU:2025-14556 | Уязвимость прокси-сервера OAuth2-Proxy, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-15245 | Уязвимость компонента Downloads браузера Google Chrome, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2025-15246 | Уязвимость компонента Downloads браузера Google Chrome, позволяющая нарушителю выполнить подмену пользовательского интерфейса |
| BDU:2025-15247 | Уязвимость компонента Split View браузера Google Chrome, позволяющая нарушителю выполнить подмену пользовательского интерфейса |
| BDU:2025-16356 | Уязвимость компонента Downloads Panel браузера Mozilla Firefox и почтового клиента Thunderbird, позволяющая нарушителю проводить спуфинг-атаки |
| BDU:2025-16470 | Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю присоединиться к произвольным организациям |
| BDU:2026-00016 | Уязвимость браузера Microsoft Edge, связанная с обходом аутентификации посредством спуфинга, позволяющая нарушителю повысить свои привилегии |
| BDU:2026-00280 | Уязвимость компонента JWT Signing Key Handler программного обеспечения OneLogin AD Connector, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2017-14003 | An Authentication Bypass by Spoofing issue was discovered in LAVA Ether-Serial Link (ESL) running firmware versions 6.01.00/2... |
| CVE-2018-15715 | Zoom clients on Windows (before version 4.1.34814.1119), Mac OS (before version 4.1.34801.1116), and Linux (2.4.129780.0915 a... |
| CVE-2019-16766 | 2FA bypass in Wagtail through new device path |
| CVE-2019-18259 | In Omron PLC CJ series, all versions and Omron PLC CS series, all versions, an attacker could spoof arbitrary messages or exe... |
| CVE-2019-3775 | UAA allows users to modify their own email address |
| CVE-2019-3884 | A vulnerability exists in the garbage collection mechanism of atomic-openshift. An attacker able spoof the UUID of a valid ob... |
| CVE-2020-10136 | IP-in-IP protocol allows a remote, unauthenticated attacker to route arbitrary network traffic |
| CVE-2020-11015 | Device Authentication Vulnerability in thinx-device-api IoT Device Management Server |
| CVE-2020-13529 | An exploitable denial-of-service vulnerability exists in Systemd 245. A specially crafted DHCP FORCERENEW packet can cause a... |
| CVE-2020-17516 | Apache Cassandra versions 2.1.0 to 2.1.22, 2.2.0 to 2.2.19, 3.0.0 to 3.0.23, and 3.11.0 to 3.11.9, when using 'dc' or 'rack'... |
| CVE-2020-2002 | PAN-OS: Spoofed Kerberos key distribution center authentication bypass |
| CVE-2020-2033 | GlobalProtect App: Missing certificate validation vulnerability can disclose pre-logon authentication cookie |
| CVE-2020-26254 | omniauth-apple allows attacker to fake their email address during authentication |
| CVE-2020-26276 | SAML authentication vulnerability in Fleet |
| CVE-2020-27276 | SOOIL Developments Co Ltd DiabecareRS,AnyDana-i & AnyDana-A, the communication protocol of the insulin pump and its AnyDana-i... |
| CVE-2020-5415 | Concourse's GitLab auth allows impersonation |
| CVE-2020-7326 | McAfee MAR - Improperly implemented security check |
| CVE-2020-7327 | McAfee MVEDR - Improperly implemented security check |
| CVE-2020-7388 | Sage X3 AdxAdmin Unauthenticated Command Execution Bypass by Spoofing |
| CVE-2021-20278 | An authentication bypass vulnerability was found in Kiali in versions before 1.31.0 when the authentication strategy `OpenID`... |
| CVE-2021-21310 | Token verification bug in next-auth |
| CVE-2021-21492 | SAP NetWeaver Application Server Java(HTTP Service), versions - 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, does not sufficient... |
| CVE-2021-22779 | Authentication Bypass by Spoofing vulnerability exists in EcoStruxure Control Expert (all versions prior to V15.0 SP1, includ... |
| CVE-2021-27853 | L2 network filtering can be bypassed using stacked VLAN0 and LLC/SNAP headers |
| CVE-2021-27854 | L2 network filtering bypass using stacked VLAN0, LLC/SNAP headers, and Ethernet to Wifi frame translation |
| CVE-2021-27861 | L2 network filtering bypass using stacked VLAN0 and LLC/SNAP headers with invalid lengths |
| CVE-2021-27862 | L2 network filtering bypass using stacked VLAN0 and LLC/SNAP headers with an invalid length during Ethernet to Wifi frame tra... |
| CVE-2021-28810 | Vulnerability in Roon Server |
| CVE-2021-29441 | Authentication bypass |
| CVE-2021-32076 | Access Restriction bypass vulnerability via referrer spoof - Business Logic Bypass |
| CVE-2021-32631 | JSON Web Tokens not properly verified |
| CVE-2021-34646 | Booster for WooCommerce <= 5.4.3 Authentication Bypass |
| CVE-2021-41130 | X-Endpoint-API-UserInfo can be spoofed in cloudendpoints Extensible Service Proxy |
| CVE-2021-43310 | A vulnerability in Keylime before 6.3.0 allows an attacker to craft a request to the agent that resets the U and V keys as if... |
| CVE-2021-43807 | HTTP Method Spoofing in Opencast |
| CVE-2021-45036 | Velneo vClient improper authentication |
| CVE-2022-0030 | PAN-OS: Authentication Bypass in Web Interface |
| CVE-2022-1601 | User Access Manager < 2.2.18 - IP Spoofing |
| CVE-2022-1745 | 2.2.7 AUTHENTICATION BYPASS BY SPOOFING CWE-290 |
| CVE-2022-1762 | iQ Block Country < 1.2.20 - Protection Bypass due to IP Spoofing |
| CVE-2022-2310 | Skyhigh SWG Authentication bypass vulnerability |
| CVE-2022-23131 | Unsafe client-side session storage leading to authentication bypass/instance takeover via Zabbix Frontend with configured SAM... |
| CVE-2022-2368 | Authentication Bypass by Spoofing in microweber/microweber |
| CVE-2022-23949 | In Keylime before 6.3.0, unsanitized UUIDs can be passed by a rogue agent and can lead to log spoofing on the verifier and re... |
| CVE-2022-24112 | apisix/batch-requests plugin allows overwriting the X-REAL-IP header |
| CVE-2022-24858 | Default redirect callback vulnerable to open redirects |
| CVE-2022-25989 | An authentication bypass vulnerability exists in the libxm_av.so getpeermac() functionality of Anker Eufy Homebase 2 2.1.8.5h... |
| CVE-2022-29165 | Argo CD will blindly trust JWT claims if anonymous access is enabled |
| CVE-2022-29218 | Unauthorized takeover for new versions of some platform-specific gems |
| CVE-2022-31149 | ActivityWatch vulnerable to DNS rebinding attack |
| CVE-2022-3180 | WPGateway <= 3.5 - Unauthenticated Privilege Escalation |
| CVE-2022-32744 | A flaw was found in Samba. The KDC accepts kpasswd requests encrypted with any key known to it. By encrypting forged kpasswd... |
| CVE-2022-32747 | A CWE-290: Authentication Bypass by Spoofing vulnerability exists that could cause legitimate users to be locked out of devic... |
| CVE-2022-35957 | Authentication Bypass in Grafana via auth proxy allowing escalation from admin to server admin |
| CVE-2022-36331 | Impersonation attack causing an Authentication Bypass on Western Digital devices |
| CVE-2022-39227 | Python-jwt subject to Authentication Bypass by Spoofing |
| CVE-2022-40269 | Authentication Bypass by Spoofing vulnerability in Mitsubishi Electric Corporation GOT2000 Series GT27 model versions 01.14.0... |
| CVE-2022-4098 | Wiesemann & Theis: Multiple products prone to missing authentication through spoofing |
| CVE-2022-4303 | WP Limit Login Attempts <= 2.6.4 - IP Spoofing |
| CVE-2022-4550 | User Activity <= 1.0.1 - IP Spoofing |
| CVE-2022-4746 | FluentAuth < 1.0.2 - Bypass blocks by IP Spoofing |
| CVE-2022-48513 | Vulnerability of identity verification being bypassed in the Gallery module. Successful exploitation of this vulnerability ma... |
| CVE-2023-0816 | Formidable Forms < 6.1 - IP Spoofing |
| CVE-2023-20245 | Multiple vulnerabilities in the per-user-override feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firep... |
| CVE-2023-20246 | Multiple Cisco products are affected by a vulnerability in Snort access control policies that could allow an unauthenticated,... |
| CVE-2023-20256 | Multiple vulnerabilities in the per-user-override feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firep... |
| CVE-2023-22474 | Parse Server is vulnerable to authentication bypass via spoofing |
| CVE-2023-22814 | Authentication Bypass issue in My Cloud OS 5 devices |
| CVE-2023-2807 | Authentication bypass in password reset process |
| CVE-2023-28803 | Traffic being bypassed by ZCC by configuring synthetic IP range as local network |
| CVE-2023-2887 | User Authentication Bypass in CBOT's Chatbot |
| CVE-2023-30803 | Sangfor Next-Gen Application Firewall Authentication Bypass |
| CVE-2023-30950 | CVE-2023-30950 |
| CVE-2023-3103 | Authentication Bypass by Spoofing in Unitree Robotics A1 |
| CVE-2023-3128 | Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and ca... |
| CVE-2023-31424 | Web authentication and authorization bypass |
| CVE-2023-3243 | ** UNSUPPORTED WHEN ASSIGNED ** [An attacker can capture an authenticating hash and utilize it to create new sessions. The h... |
| CVE-2023-34329 | Authentication Bypass via HTTP Header Spoofing |
| CVE-2023-37865 | WordPress IP2Location Country Blocker plugin <= 2.29.1 - IP Bypass Vulnerability vulnerability |
| CVE-2023-4001 | Grub2: bypass the grub password protection feature |
| CVE-2023-40356 | PingOne MFA Integration Kit MFA bypass |
| CVE-2023-40702 | PingOne MFA Integration Kit MFA bypass |
| CVE-2023-41133 | WordPress Secure Admin IP plugin <= 2.0 - IP Spoofing vulnerability |
| CVE-2023-41134 | WordPress Antispam Bee plugin <= 2.11.3 - Country IP Restriction Bypass vulnerability |
| CVE-2023-41329 | Domain restrictions bypass via DNS Rebinding in WireMock and WireMock Studio |
| CVE-2023-4178 | Authentication Bypass in Neutron Smart VMS |
| CVE-2023-4279 | User Activity Log < 1.6.7 - IP Spoofing |
| CVE-2023-4281 | Activity Log < 2.8.8 - IP Spoofing |
| CVE-2023-44117 | Vulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability... |
| CVE-2023-44447 | TP-Link TL-WR902AC loginFs Improper Authentication Information Disclosure Vulnerability |
| CVE-2023-4566 | Vulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability... |
| CVE-2023-4631 | DoLogin Security < 3.7 - IP Spoofing |
| CVE-2023-47769 | WordPress WP Maintenance plugin <= 6.1.3 - IP Filtering Bypass vulnerability |
| CVE-2023-48271 | WordPress Maspik – Spam Blacklist plugin <= 0.10.3 - IP Filtering Bypass vulnerability |
| CVE-2023-48396 | Apache SeaTunnel Web: Authentication bypass |
| CVE-2023-48753 | WordPress Restricted Site Access plugin <= 7.4.1 - IP Restriction Bypass vulnerability |
| CVE-2023-49741 | WordPress Coming soon and Maintenance mode plugin <= 3.7.3 - IP Filtering Bypass vulnerability |
| CVE-2023-49794 | The logic of get apk path in KernelSU module can be bypassed |
| CVE-2023-50224 | TP-Link TL-WR841N dropbearpwd Improper Authentication Information Disclosure Vulnerability |
| CVE-2023-5133 | User Activity Log Pro < 2.3.4 - IP Spoofing |
| CVE-2023-51542 | WordPress Branda plugin <= 3.4.14 - IP Restriction Bypass vulnerability |
| CVE-2023-51543 | WordPress RegistrationMagic plugin <= 5.2.5.0 - IP Limit Bypass vulnerability |
| CVE-2023-51667 | WordPress Rate my Post – WP Rating System plugin <= 3.4.2 - Broken Access Control vulnerability |
| CVE-2023-52176 | WordPress Malware Scanner plugin <= 4.7.1 - IP Restriction Bypass vulnerability |
| CVE-2023-5239 | Security & Malware scan by CleanTalk < 2.121 - IP Spoofing |
| CVE-2023-5801 | Vulnerability of identity verification being bypassed in the face unlock module. Successful exploitation of this vulnerabilit... |
| CVE-2023-6044 | A privilege escalation vulnerability was reported in Lenovo Vantage that could allow a local attacker with physical access to... |
| CVE-2023-6263 | Server Spoofing Vulnerability in NxCloud |
| CVE-2023-7169 | Impersonate vendor signed Powershell scripts |
| CVE-2024-0454 | Security Vulnerability on Match-on-Chip FPR Architecture |
| CVE-2024-0868 | coreActivity < 2.1 - Unauthenticated IP Spoofing |
| CVE-2024-0970 | User Activity Tracking and Log < 4.1.4 - IP Spoofing |
| CVE-2024-10125 | Lack of JWT issuer and signer validation |
| CVE-2024-12108 | WhatsUp Gold - Public API signing key rotation issue |
| CVE-2024-13061 | 2100 Technology Electronic Official Document Management System - Authentication Bypass |
| CVE-2024-1347 | Authentication Bypass by Spoofing in GitLab |
| CVE-2024-13685 | Admin and Site Enhancements (ASE) < 7.6.10 - Limit Login Attempt Bypass via IP Spoofing |
| CVE-2024-20297 | Cisco Adaptive Security Appliance and Firepower Threat Defense AnyConnect Access Control List Bypass Vulnerability |
| CVE-2024-20299 | Cisco Adaptive Security Appliance and Firepower Threat Defense AnyConnect Access Control List Bypass Vulnerability |
| CVE-2024-20363 | Multiple Cisco products are affected by a vulnerability in the Snort Intrusion Prevention System (IPS) rule engine that could... |
| CVE-2024-20384 | A vulnerability in the Network Service Group (NSG) feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Fire... |
| CVE-2024-21746 | WordPress Wp Ultimate Review plugin <= 2.3.2 - IP limit Bypass vulnerability |
| CVE-2024-22092 | Bundlemanager has an authentication bypass vulnerability |
| CVE-2024-22139 | WordPress WordPress Manutenção plugin <= 1.0.6 - Bypass vulnerability |
| CVE-2024-22457 | Dell Secure Connect Gateway 5.20 contains an improper authentication vulnerability during the SRS to SCG update path. A remot... |
| CVE-2024-23832 | Mastodon Remote user impersonation and takeover |
| CVE-2024-25595 | WordPress Defender Security plugin <= 4.4.1 - IP Restriction Bypass vulnerability |
| CVE-2024-25906 | WordPress Comments Like Dislike plugin <= 1.2.2 - IP Restriction Bypass Vulnerability vulnerability |
| CVE-2024-27349 | Apache HugeGraph-Server: Bypass whitelist in Auth mode |
| CVE-2024-29006 | Apache CloudStack: x-forwarded-for HTTP header parsed by default |
| CVE-2024-30189 | A vulnerability has been identified in SCALANCE W721-1 RJ45 (6GK5721-1FC00-0AA0) (All versions), SCALANCE W721-1 RJ45 (6GK572... |
| CVE-2024-30190 | A vulnerability has been identified in SCALANCE W1748-1 M12 (6GK5748-1GY01-0AA0), SCALANCE W1748-1 M12 (6GK5748-1GY01-0TA0),... |
| CVE-2024-30191 | A vulnerability has been identified in SCALANCE W1748-1 M12 (6GK5748-1GY01-0AA0), SCALANCE W1748-1 M12 (6GK5748-1GY01-0TA0),... |
| CVE-2024-30479 | WordPress LionScripts: IP Blocker Lite plugin <= 11.1.1 - Bypass vulnerability |
| CVE-2024-30480 | WordPress CGC Maintenance Mode plugin <= 1.2 - IP Filtering Bypass vulnerability |
| CVE-2024-3050 | Site Reviews < 7.0.0 - IP Spoofing |
| CVE-2024-30522 | WordPress Newsletter plugin <= 8.2.0 - IP Blacklist Bypass vulnerability |
| CVE-2024-31863 | Apache Zeppelin: Replacing other users notebook, bypassing any permissions |
| CVE-2024-32708 | WordPress Maintenance Mode plugin <= 3.0.1 - IP Bypass vulnerability |
| CVE-2024-32786 | WordPress Royal Elementor Addons and Templates plugin <= 1.3.93 - IP Bypass vulnerability |
| CVE-2024-32827 | WordPress Giveaways and Contests by RafflePress plugin <= 1.12.7 - IP Restriction Bypass vulnerability |
| CVE-2024-32977 | OctoPrint Authentication Bypass via X-Forwarded-For Header when autologinLocal is enabled |
| CVE-2024-33917 | WordPress WTI Like Post plugin <= 1.4.6 - IP Restriction Bypass Vulnerability vulnerability |
| CVE-2024-35749 | WordPress Under Construction / Maintenance Mode from Acurax plugin <= 2.6 - IP Bypass vulnerability |
| CVE-2024-36466 | Unauthenticated Zabbix frontend takeover when SSO is being used |
| CVE-2024-37082 | When deploying Cloud Foundry together with the haproxy-boshrelease and using a non default configuration, it might be possibl... |
| CVE-2024-37430 | WordPress Patreon WordPress plugin <= 1.9.0 - Image Protection Bypass vulnerability |
| CVE-2024-39350 | A vulnerability regarding authentication bypass by spoofing is found in the RTSP functionality. This allows man-in-the-middle... |
| CVE-2024-41107 | Apache CloudStack: SAML Signature Exclusion |
| CVE-2024-4358 | Registration Authentication Bypass Vulnerability |
| CVE-2024-44104 | An incorrectly implemented authentication scheme that is subjected to a spoofing attack in the management console of Ivanti W... |
| CVE-2024-45453 | WordPress Maintenance Redirect plugin <= 2.0.1 - IP Bypass vulnerability |
| CVE-2024-5037 | Openshift/telemeter: iss check during jwt authentication can be bypassed |
| CVE-2024-50380 | Authentication Bypass by Spoofing in Snap One OVRC cloud |
| CVE-2024-51504 | Apache ZooKeeper: Authentication bypass with IP-based authentication in Admin Server |
| CVE-2024-53862 | Argo Workflows Allows Access to Archived Workflows with Fake Token in `client` mode |
| CVE-2024-54085 | Redfish Authentication Bypass |
| CVE-2024-55925 | API Security bypass through header manipulation |
| CVE-2024-5812 | Smart Rule Overwrite Bypass in BeyondInsight PasswordSafe |
| CVE-2024-58124 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58125 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58126 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-58127 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2024-6163 | local IP restriction of internal HTTP endpoints |
| CVE-2024-6678 | Authentication Bypass by Spoofing in GitLab |
| CVE-2024-7745 | Multi-Factor Authentication Bypass in Progress WS_FTP Server |
| CVE-2024-8901 | Lack of JWT issuer and signer validation |
| CVE-2024-8935 | CWE-290: Authentication Bypass by Spoofing vulnerability exists that could cause a denial of service and loss of confidential... |
| CVE-2025-1104 | D-Link DHP-W310AV authentication spoofing |
| CVE-2025-11843 | Therefore™ Online and Therefore™ On-Premises contains an account impersonation issue, which could potentially allow the attac... |
| CVE-2025-1298 | Logic vulnerability in the mobile application (com.transsion.carlcare) may lead to the risk of account takeover. |
| CVE-2025-21415 | Azure AI Face Service Elevation of Privilege Vulnerability |
| CVE-2025-22223 | Spring Security 6.4.0 - 6.4.3 may not correctly locate method security annotations on parameterized types or methods. This ma... |
| CVE-2025-22271 | IP Spoofing in CyberArk Endpoint Privilege Manager |
| CVE-2025-24628 | WordPress reCaptcha by BestWebSoft Plugin <= 1.78 - Captcha Bypass vulnerability |
| CVE-2025-25055 | Authentication bypass by spoofing issue exists in FileMegane versions above 1.0.0.0 prior to 3.4.0.0, which may lead to user... |
| CVE-2025-25182 | Stroom Authentication/Authorization Bypass when using AWS ALB |
| CVE-2025-27616 | Vela Server has Insufficient Webhook Payload Data Verification |
| CVE-2025-27695 | Dell Wyse Management Suite, versions prior to WMS 5.1 contain an Authentication Bypass by Spoofing vulnerability. A high priv... |
| CVE-2025-30144 | Fast-JWT Improperly Validates iss Claims |
| CVE-2025-31122 | scratch-coding-hut.github.io Login Links Generation vulnerability |
| CVE-2025-31170 | Access control vulnerability in the security verification module Impact: Successful exploitation of this vulnerability will a... |
| CVE-2025-32012 | Jellyfin Vulnerable to Denial of Service (DoS) via IP Spoofing |
| CVE-2025-32227 | WordPress Asgaros Forum plugin <= 3.0.0 - File Upload Numbers Bypass vulnerability |
| CVE-2025-32275 | WordPress Survey Maker plugin <= 5.1.5.4 - Bypass vulnerability |
| CVE-2025-32788 | OctoPrint Authenticated Reverse Proxy Page Authentication Bypass |
| CVE-2025-32966 | Dataease H2 JDBC Connection Remote Code Execution |
| CVE-2025-34053 | AVTECH IP camera, DVR, and NVR Devices Authentication Bypass via .cab Path Manipulation |
| CVE-2025-34063 | OneLogin AD Connector JWT Authentication Bypass via Exposed Signing Key |
| CVE-2025-34065 | AVTECH IP camera, DVR, and NVR Devices Authentication Bypass via /nobody URL Path |
| CVE-2025-36119 | IBM i authentication bypass |
| CVE-2025-36594 | Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.3.0.15,... |
| CVE-2025-46345 | Auth0 Account Link Extension JWT Invalid Signature Validation |
| CVE-2025-48027 | The HttpAuth plugin in pGina.Fork through 3.9.9.12 allows authentication bypass when an adversary controls DNS resolution for... |
| CVE-2025-48906 | Authentication bypass vulnerability in the DSoftBus module Impact: Successful exploitation of this vulnerability may affect a... |
| CVE-2025-48937 | matrix-sdk-crypto vulnerable to sender of encrypted events being spoofed by homeserver administrator |
| CVE-2025-49002 | Dataease H2 Database Remote Code Execution (RCE) Bypass Vulnerability |
| CVE-2025-49004 | Hijacking Caido instance during the initial setup via DNS Rebinding to achieve RCE |
| CVE-2025-54288 | Source Container Identification Vulnerability via cmdline Spoofing in devLXD Server |
| CVE-2025-54576 | OAuth2-Proxy has authentication bypass in oauth2-proxy skip_auth_routes due to Query Parameter inclusion |
| CVE-2025-58595 | WordPress All In One Login plugin <= 2.0.8 - Bypass Vulnerability vulnerability |
| CVE-2025-59154 | Openfire allows potential identity spoofing via unsafe CN parsing |
| CVE-2025-59385 | QTS, QuTS hero |
| CVE-2025-59501 | Microsoft Configuration Manager Spoofing Vulnerability |
| CVE-2025-61778 | Akka.Remote TLS did not properly implement certificate-based authentication |
| CVE-2025-62235 | Apache Mynewt NimBLE: Incorrect handling of SMP Security Request could lead to undesirable pairing |
| CVE-2025-66270 | The KDE Connect protocol 8 before 2025-11-28 does not correlate device IDs across two packets. This affects KDE Connect befor... |
| CVE-2025-66507 | 1Panel – CAPTCHA Bypass via Client-Controlled Flag |
| CVE-2025-66508 | 1Panel IP Access Control Bypass via Untrusted X-Forwarded-For Headers |
| CVE-2025-66570 | cpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*) |
| CVE-2025-68644 | Yealink RPS before 2025-06-27 allows unauthorized access to information, including AutoP URL addresses. This was fixed by dep... |
| CVE-2025-69203 | Signal K Server Vulnerable to Access Request Spoofing |
| CVE-2025-69258 | A LoadLibraryEX vulnerability in Trend Micro Apex Central could allow an unauthenticated remote attacker to load an attacker-... |
| CVE-2025-7448 | Man in the middle (MitM) attack vulnerability in Wi-SUN library |
| CVE-2025-8853 | 2100 Technology｜Official Document Management System - Authentication Bypass |
| CVE-2025-9265 | API Authentication Bypass via Header Spoofing vulnerability in Kiloview NDI N30 Products |
| CVE-2026-21894 | n8n's Missing Stripe-Signature Verification Allows Unauthenticated Forged Webhooks |
| CVE-2026-22797 | An issue was discovered in OpenStack keystonemiddleware 10.5 through 10.7 before 10.7.2, 10.8 and 10.9 before 10.9.1, and 10.... |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20241111-16 | 11.11.2024 | Выполнение произвольного кода в Apache ZooKeeper |
| VULN:20250618-91 | 18.06.2025 | Обход безопасности в Siemens SIMATIC IPC RS-828A |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.