Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
Каталог Справка открывает раздел документации по каталогам.
Уязвимости CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-35
Path Traversal: '.../...//'
The product uses external input to construct a pathname that should be within a restricted directory, but it does not properly neutralize '.../...//' (doubled triple dot slash) sequences that can resolve to a location that is outside of that directory.
| Тип уязвимости: | Не зависит от других уязвимостей |
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2020-05197 | Уязвимость веб-интерфейса vManage программно-определяемой сети Cisco SD-WAN, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2020-05524 | Уязвимость программного средства для создания отчетов для развернутых средств безопасности Cisco Security Manager, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информ... |
| BDU:2021-00569 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю выполнить произвольные SQL-запросы |
| BDU:2021-00589 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-00590 | Уязвимость веб-интерфейса управления систем управления IP-телефонией Cisco Unified Communications Manager и Cisco Unified Communications Manager SME, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-00652 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю выполнить произвольные SQL-запросы |
| BDU:2021-01224 | Уязвимость компонента API и веб-интерфейса программного средства автоматизации Cisco Network Services Orchestrator, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2022-02688 | Уязвимость scada-сервера Elcomplus SmartPPT, связанная с ошибками проверки ввода данных, позволяющая нарушителю записывать произвольные файлы в произвольные места в файловой системе |
| BDU:2023-00248 | Уязвимость программного обеспечения для проведения видеоконференций Zoom для Android, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю произвести чтение и запись в каталоге данных приложения Zoom |
| BDU:2023-08478 | Уязвимость программного продукта для мониторинга устройств в реальном времени Delta Electronics InfraSuite Device Master, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю раскрыть информацию о пользователе, получить уче... |
| BDU:2023-08702 | Уязвимость программного продукта для мониторинга устройств в реальном времени Delta Electronics InfraSuite Device Master, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить запись... |
| BDU:2024-02734 | Уязвимость веб-интерфейса Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю читать и записывать произвольные файлы в систему |
| BDU:2024-03124 | Уязвимость программного обеспечения для управления и учета основных средств предприятия SAP Asset Accounting, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступн... |
| BDU:2024-03167 | Уязвимость системы мониторинга и управления IT-средами Pandora FMS, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю записывать произвольные файлы в систему и выполнить произвольный код |
| BDU:2024-05109 | Уязвимость компонента Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю читать произвольные файлы |
| BDU:2024-05239 | Уязвимость компонента.NET Core программного обеспечения "Сервис обновлений", позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05241 | Уязвимость обработчика WSDL-запросов программного обеспечения "Сервис обновлений", позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05243 | Уязвимость программного обеспечения "Сервис оправдательных документов", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05246 | Уязвимость компонента .NET Core программного обеспечения "Сервис оправдательных документов", позволяющая нарушителю получить доступ на чтение и запись файлов |
| BDU:2024-05247 | Уязвимость программного обеспечения "Сервис оправдательных документов", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ на чтение и запись локальных файлов |
| BDU:2024-08938 | Уязвимость OPC-сервера WorkstationST, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ к директории сервера |
| BDU:2025-00373 | Уязвимость конфигурации -safe-links демона rsyncd утилиты для передачи и синхронизации файлов Rsync, позволяющая нарушителю записывать произвольные файлы |
| BDU:2025-00377 | Уязвимость конфигурации --inc-recursive демона rsyncd утилиты для передачи и синхронизации файлов Rsync, позволяющая нарушителю записывать произвольные файлы |
| BDU:2025-02456 | Уязвимость системы управления базами данных WhoDB, связанная с возможностью использования памяти после освобождения, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-04605 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при экспорте объектов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код |
| BDU:2025-04606 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-04615 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при изменении полей объектов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код |
| BDU:2025-04616 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при конвертации файлов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии |
| BDU:2025-04843 | Уязвимость программного обеспечения для управления налоговыми обязательствами SAP Capital Yield Tax Management, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информаци... |
| BDU:2025-05711 | Уязвимость системы контроля доступа PERCo-Web, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-06071 | Уязвимость микропрограммного обеспечения промышленных коммутаторов Siemens Scalance LPE9403, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю восстанавливать резервные копии в системе |
| BDU:2025-06215 | Уязвимость микропрограммного обеспечения телефонов и акустических систем для конференц-связи Poly, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-08502 | Уязвимость программы мониторинга компьютерной сети NetMRI, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю читать произвольные файлы |
| BDU:2025-09597 | Уязвимость файлового архиватора WinRAR, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-10449 | Уязвимость микропрограммного обеспечения SIP-телефонов CyberData 011209 SIP Emergency Intercom, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю загружать произвольные файлы |
| BDU:2025-10633 | Уязвимость компонента Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11397 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии |
| BDU:2025-11404 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11407 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11410 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11423 | Уязвимость компонента управления данными виртуальных машин (VM) в средах Hyper-V программного обеспечения централизованного управления резервным копированием и восстановлением данных PowerProtect Data Manager, позволяющая нарушителю получить несанкци... |
| BDU:2025-11720 | Уязвимость операционных систем Cisco IOS XE, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2025-12874 | Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain, программного средства защиты данных в корпоративной среде с использованием облачных технологий APEX Protection Storage, платформы защиты данны... |
| BDU:2025-15408 | Уязвимость плагина out_file инструмента для сбора и обработки логов Fluent Bit, позволяющая нарушителю записать произвольный файл за пределами целевой директории |
| BDU:2025-16324 | Уязвимость плагина "Экспорт/Импорт товаров в Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-16325 | Уязвимость плагина "Импорт из Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-16349 | Уязвимость плагина "Многофункциональный экспорт/импорт в Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2026-02449 | Уязвимость метода loadFile библиотеки для создания PDF-файлов jsPDF, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2018-3744 | The html-pages node module contains a path traversal vulnerabilities that allows an attacker to read any file from the server... |
| CVE-2020-26073 | Cisco SD-WAN vManage Directory Traversal Vulnerability |
| CVE-2020-27130 | Cisco Security Manager Path Traversal Vulnerability |
| CVE-2021-1132 | Cisco Network Services Orchestrator Path Traversal Vulnerability |
| CVE-2021-1282 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1355 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1357 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1364 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2022-2265 | Path traversal in Identity and Directory Management System |
| CVE-2022-24774 | Improper Input Validation leading to Path Traversal in CycloneDX BOM Repository Server |
| CVE-2022-36928 | Path Traversal in Zoom for Android Clients |
| CVE-2022-3693 | Path traversal in FileOrbis File Management System |
| CVE-2023-21415 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API overlay_del.cgi is vulnerable to path tr... |
| CVE-2023-21416 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API dynamicoverlay.cgi was vulnerable to a D... |
| CVE-2023-21417 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API manageoverlayimage.cgi was vulnerable t... |
| CVE-2023-21418 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API irissetup.cgi was vulnerable to path tra... |
| CVE-2023-32714 | Path Traversal in Splunk App for Lookup File Editing |
| CVE-2023-39916 | Possible path traversal when storing RRDP responses |
| CVE-2023-41793 | Path Traversal and Untrusted Upload File |
| CVE-2023-46690 | Delta Electronics InfraSuite Device Master Path Traversal |
| CVE-2023-5800 | Insufficient input validation in VAPIX API create_overlay.cgi |
| CVE-2023-5885 | Franklin Electric Fueling Systems Colibri Path Traversal |
| CVE-2023-6252 | Path traversal vulnerability in Chameleon Power products |
| CVE-2023-7263 | Some Huawei home music system products have a path traversal vulnerability. Successful exploitation of this vulnerability may... |
| CVE-2023-7300 | Huawei Home Music System has a path traversal vulnerability. Successful exploitation of this vulnerability may cause the musi... |
| CVE-2024-0067 | Marinus Pfund, member of the AXIS OS Bug Bounty Program, has found the VAPIX API ledlimit.cgi was vulnerable for path traver... |
| CVE-2024-0113 | NVIDIA Mellanox OS, ONYX, Skyway, and MetroX-3 XCC contain a vulnerability in the web support, where an attacker can cause a... |
| CVE-2024-10857 | Product Input Fields for WooCommerce <= 1.9 - Authenticated (Contributor+) Arbitrary File Read |
| CVE-2024-11136 | Arbitrary file removal via path traversal in TCL Camera |
| CVE-2024-1886 | Absolute path traversal attack on LG Signage |
| CVE-2024-27901 | Directory Traversal vulnerability in SAP Asset Accounting |
| CVE-2024-2863 | Path traversal via file upload on LG LED Assistant |
| CVE-2024-36991 | Path Traversal on the “/modules/messaging/“ endpoint in Splunk Enterprise on Windows |
| CVE-2024-41972 | WAGO: Arbitrary File Overwrite Leading to Privileged File Read in Multiple Devices |
| CVE-2024-41973 | WAGO: Remote Arbitrary File Write with Root Privileges in multiple Devices |
| CVE-2024-45190 | Mage AI pipeline interaction request remote arbitrary file leak |
| CVE-2024-45248 | Multi-DNC – CWE-35: Path Traversal: '.../...//' |
| CVE-2024-47169 | Agnai vulnerable to Remote Code Execution via JS Upload using Directory Traversal |
| CVE-2024-47170 | Agnai File Disclosure Vulnerability: JSON via Path Traversal |
| CVE-2024-47171 | Agnai vulnerable to Relative Path Traversal in Image Upload |
| CVE-2024-49249 | WordPress SMSA Shipping plugin <= 2.3 - Arbitrary File Deletion vulnerability |
| CVE-2024-49258 | WordPress Limb Gallery plugin <= 1.5.7 - Arbitrary File Download vulnerability |
| CVE-2024-49770 | oak's path traversal allows transfer of hidden files within the served root directory |
| CVE-2024-50054 | mySCADA myPRO Path Traversal |
| CVE-2024-51582 | WordPress WP Hotel Booking plugin <= 2.1.4 - Local File Inclusion vulnerability |
| CVE-2024-52390 | WordPress CYAN Backup plugin <= 2.5.3 - Arbitrary File Download vulnerability |
| CVE-2024-52447 | WordPress Contact Page With Google Map plugin <= 1.6.1 - Arbitrary File Deletion vulnerability |
| CVE-2024-52498 | WordPress SP Blog Designer plugin <= 1.0.0 - Local File Inclusion vulnerability |
| CVE-2024-52885 | Path Traversal |
| CVE-2024-54216 | WordPress ARForms plugin <= 6.4.1 - Arbitrary File Read vulnerability |
| CVE-2024-54313 | WordPress FULL – Cliente plugin <= 3.1.25 - Local File Inclusion vulnerability |
| CVE-2024-54362 | WordPress GetShop ecommerce plugin <= 1.3 - Path Traversal vulnerability |
| CVE-2024-56045 | WordPress WPLMS plugin < 1.9.9.5 - Unauthenticated Arbitrary Directory Deletion vulnerability |
| CVE-2024-56049 | WordPress WPLMS plugin < 1.9.9.5.2 - Subscriber+ Arbitrary File Deletion vulnerability |
| CVE-2024-56055 | WordPress WPLMS plugin < 1.9.9.5.2 - Arbitrary Directory Deletion vulnerability |
| CVE-2024-56213 | WordPress Eventin plugin <= 4.0.7 - Contributor+ Limited Local File Inclusion vulnerability |
| CVE-2024-56214 | WordPress UserPro plugin <= 5.1.9 - Local File Inclusion vulnerability |
| CVE-2024-7608 | An authenticated user can access the restricted files from NX, EX, FX, AX, IVX and CMS using path traversal. |
| CVE-2025-0858 | Certain Poly Devices – Path Traversal Vulnerability - Arbitrary File Access by Unauthorized User |
| CVE-2025-20313 | Multiple vulnerabilities in Cisco IOS XE Software of could allow an authenticated, local attacker with level-15 privileges or... |
| CVE-2025-20320 | Denial of Service (DoS) through “User Interface - Views“ configuration page in Splunk Enterprise |
| CVE-2025-22205 | Extension - admiror-design-studio.com - Path traversal in the Admiror Gallery 4.x component for Joomla |
| CVE-2025-22288 | WordPress Smush Image Compression and Optimization plugin <= 3.17.0 - Directory Traversal vulnerability |
| CVE-2025-22786 | WordPress ElementInvader Addons for Elementor plugin <= 1.2.6 - Local File Inclusion vulnerability |
| CVE-2025-24685 | WordPress Morkva UA Shipping plugin <= 1.0.18 - Local File Inclusion vulnerability |
| CVE-2025-24786 | Path traversal opening Sqlite3 database in WhoDB |
| CVE-2025-24907 | Hitachi Vantara Pentaho Data Integration & Analytics – Path Traversal |
| CVE-2025-24908 | Hitachi Vantara Pentaho Data Integration & Analytics – Path Traversal |
| CVE-2025-25122 | WordPress WizShop Plugin <= 3.0.2 - Local File Inclusion vulnerability |
| CVE-2025-26351 | A CWE-35 "Path Traversal" in the template download mechanism in Q-Free MaxTime less than or equal to version 2.11.0 allows an... |
| CVE-2025-26352 | A CWE-35 "Path Traversal" in the template deletion mechanism in Q-Free MaxTime less than or equal to version 2.11.0 allows an... |
| CVE-2025-26353 | A CWE-35 "Path Traversal" in maxtime/api/sql/sql.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authent... |
| CVE-2025-26354 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua (copy endpoint) in Q-Free MaxTime less than or equal to versio... |
| CVE-2025-26355 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows... |
| CVE-2025-26356 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua (setActive endpoint) in Q-Free MaxTime less than or equal to v... |
| CVE-2025-26357 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows... |
| CVE-2025-26876 | WordPress Search with Typesense Plugin <= 2.0.8 - Path Traversal vulnerability |
| CVE-2025-26935 | WordPress WP Job Portal plugin <= 2.2.8 - Local File Inclusion vulnerability |
| CVE-2025-26940 | WordPress Pie Register Premium plugin <= 3.8.3.2 - Path Traversal to Non-Arbitrary File Deletion vulnerability |
| CVE-2025-27010 | WordPress Tastyc < 2.5.2 - Local File Inclusion Vulnerability |
| CVE-2025-27274 | WordPress GPX Viewer plugin <= 2.2.11 - Path Traversal vulnerability |
| CVE-2025-27445 | Extension - rsjoomla.com - A path traversal vulnerability RSFirewall component 2.9.7 - 3.1.5 for Joomla |
| CVE-2025-30014 | Directory Traversal vulnerability in SAP Capital Yield Tax Management |
| CVE-2025-30515 | CyberData 011209 SIP Emergency Intercom Path Traversal |
| CVE-2025-30834 | WordPress Bit Assist plugin <= 1.5.4 - Path Traversal vulnerability |
| CVE-2025-30966 | WordPress WPJobBoard plugin < 5.11.1 - Path Traversal vulnerability |
| CVE-2025-32585 | WordPress Shop Products Filter Plugin <= 1.2 - Local File Inclusion vulnerability |
| CVE-2025-32950 | io.jmix.localfs:jmix-localfs has a Path Traversal in Local File Storage |
| CVE-2025-39467 | WordPress Wanderland theme <= 1.7.1 - Local File Inclusion Vulnerability |
| CVE-2025-39470 | WordPress Ivy School <= 1.6.0 - Local File Inclusion Vulnerability |
| CVE-2025-39475 | WordPress Arlo <= 6.0.3 - Local File Inclusion Vulnerability |
| CVE-2025-39491 | WordPress WHMpress plugin <= 6.2-revision-9 - Local File Inclusion vulnerability |
| CVE-2025-39492 | WordPress WHMpress plugin <= 6.2-revision-9 - Local File Inclusion vulnerability |
| CVE-2025-39598 | WordPress Administrator Z <= 2025.03.28 - Directory Traversal Vulnerability |
| CVE-2025-40573 | A vulnerability has been identified in SCALANCE LPE9403 (6GK5998-3GS00-2AC2) (All versions < V4.0 HF0). Affected devices are... |
| CVE-2025-41723 | Sauter: Directory Traversal in importFile SOAP Method |
| CVE-2025-42937 | Directory Traversal vulnerability in SAP Print Service |
| CVE-2025-43886 | Dell PowerProtect Data Manager, version(s) 19.19 and 19.20, Hyper-V contain(s) a Path Traversal: '.../...//' vulnerability. A... |
| CVE-2025-43907 | Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.3.0.15,... |
| CVE-2025-46441 | WordPress Section Widget plugin <= 3.3.1 - Path Traversal vulnerability |
| CVE-2025-47636 | WordPress List category posts <= 0.91.0 - Local File Inclusion Vulnerability |
| CVE-2025-47649 | WordPress Open Close WooCommerce Store <= 4.9.5 - Local File Inclusion Vulnerability |
| CVE-2025-48081 | WordPress Printeers Print & Ship plugin <= 1.17.0 - Directory Traversal vulnerability |
| CVE-2025-48090 | WordPress Blanka - One Page WordPress Theme Theme < 1.5 - Local File Inclusion Vulnerability |
| CVE-2025-48317 | WordPress WooCommerce Payment Gateway for Saferpay Plugin <= 0.4.9 - Path Traversal Vulnerability |
| CVE-2025-49295 | WordPress MediClinic <= 2.1 - Local File Inclusion Vulnerability |
| CVE-2025-49296 | WordPress GrandPrix <= 1.6 - Local File Inclusion Vulnerability |
| CVE-2025-49297 | WordPress Grill and Chow <= 1.6 - Local File Inclusion Vulnerability |
| CVE-2025-49451 | WordPress Aeroscroll Gallery – Infinite Scroll Image Gallery & Post Grid with Photo Gallery <= 1.0.12 - Directory Traversal V... |
| CVE-2025-4956 | WordPress Pro Bulk Watermark Plugin for WordPress Theme <= 2.0 - Path Traversal Vulnerability |
| CVE-2025-52712 | WordPress Post and Page Builder by BoldGrid – Visual Drag and Drop Editor <= 1.27.8 - Path Traversal Vulnerability |
| CVE-2025-52805 | WordPress Leyka <= 3.31.9 - Local File Inclusion Vulnerability |
| CVE-2025-52810 | WordPress Katerio - Magazine theme <= 1.5.1 - Local File Inclusion Vulnerability |
| CVE-2025-52811 | WordPress Davenport - Versatile Blog and Magazine WordPress Theme <= 1.3 - Local File Inclusion Vulnerability |
| CVE-2025-53417 | File Parsing Deserialization of Untrusted Data in DTM Soft |
| CVE-2025-53561 | WordPress Prevent files / folders access Plugin <= 2.6.0 - Path Traversal Vulnerability |
| CVE-2025-53880 | susemanager-tftpsync-recv allows arbitrary file creation and deletion due to path traversal |
| CVE-2025-5454 | An ACAP configuration file lacked sufficient input validation, which could allow a path traversal attack leading to potential... |
| CVE-2025-5598 | WF Steuerungstechnik GmbH - airleader MASTER - Path Traversal |
| CVE-2025-58972 | WordPress Barcode Scanner with Inventory & Order Manager plugin <= 1.10.4 - Path Traversal vulnerability |
| CVE-2025-64253 | WordPress Health Check & Troubleshooting plugin <= 1.7.1 - Path Traversal vulnerability |
| CVE-2025-64676 | Microsoft Purview eDiscovery Remote Code Execution Vulnerability |
| CVE-2025-66004 | Local privilege escalation in usbmuxd from arbitrary local user to usbmux |
| CVE-2025-67914 | WordPress VidMov theme <= 2.3.8 - Path Traversal vulnerability |
| CVE-2025-68428 | jsPDF has Local File Inclusion/Path Traversal vulnerability |
| CVE-2025-69325 | WordPress Primer MyData for Woocommerce plugin <= 4.2.8 - Path Traversal vulnerability |
| CVE-2025-8051 | Path traversal validation vulnerability has been discovered in opentext Flipper. |
| CVE-2025-8088 | Path traversal vulnerability in WinRAR |
| CVE-2026-26124 | Microsoft ACI Confidential Containers Elevation of Privilege Vulnerability |
| CVE-2026-32415 | WordPress Squeeze plugin <= 1.7.7 - Directory Traversal vulnerability |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240719-10 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис обновлений" |
| VULN:20240719-2 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-3 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-6 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-8 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис обновлений" |
| VULN:20241213-47 | 13.12.2024 | Выполнение произвольного кода в SonicWall SMA100 series |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.