Каталоги
В сервис интегрированы наиболее популярные публичных базы знаний:
- Сертификаты СЗИ - Государственный реестр сертифицированных средств защиты информации опубликованный Федеральной службой по техническому и экспортному контролю, может быть использован для контроля актуальности используемых СЗИ в организации.
- CVE уязвимости - общедоступная публичная база уязвимостей Common Vulnerabilities and Exposures (CVE). Миссия программы CVE заключается в выявлении, определении и каталогизации публично раскрываемых уязвимостей в сфере кибербезопасности. Для каждой уязвимости в каталоге существует одна запись CVE. Уязвимости обнаруживаются, затем присваиваются и публикуются организациями по всему миру, которые сотрудничают с программой CVE. Партнеры публикуют записи CVE для единообразного описания уязвимостей. Специалисты в области информационных технологий и кибербезопасности используют записи CVE, чтобы убедиться, что они обсуждают одну и ту же проблему, и координировать свои усилия по определению приоритетности и устранению уязвимостей.
- БДУ ФСТЭК уязвимости - раздел Уязвимости Банка данных уязвимостей опубликованная Федеральной службой по техническому и экспортному контролю совместно с Государственным научно-исследовательским испытательным институтом проблем технической защиты информации. Одной из целей создания банка данных угроз безопасности информации является объединение специалистов в области информационной безопасности для решения задач повышения защищенности информационных систем.
- НКЦКИ уязвимости - общедоступная публичная база уязвимостей Национального координационного центра по компьютерным инцидентам (НКЦКИ), обеспечивающего координацию деятельности субъектов КИИ по обнаружению, предупреждению, ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты.
- MITRE ATT&CK – Adversarial Tactics, Techniques & Common Knowledge – Тактики, техники и общеизвестные знания о злоумышленниках. Это основанная на реальных наблюдениях база знаний компании Mitre, содержащая описание тактик, приемов и методов, используемых киберпреступниками. База создана в 2013 году и регулярно обновляется, цель – составление структурированной матрицы используемых киберпреступниками приемов, чтобы упростить задачу реагирования на киберинциденты.
- БДУ ФСТЭК и Новая БДУ ФСТЭК – раздел Угрозы Банка данных угроз, опубликованный в 2015 году Федеральной службой по техническому и экспортному контролю и Государственным научно-исследовательским испытательным институтом проблем технической защиты информации, обязателен при моделировании угроз при построении систем защиты персональных данных, критической информационной инфраструктуры, государственных информационных систем.
CVE, БДУ ФСТЭК и НКЦКИ
Каталоги CVE уязвимости, БДУ ФСТЭК уязвимости и НКЦКИ уязвимости предоставляют дополнительный контент и обогащают информацией описание уязвимостей от сканеров в модуле Технические уязвимости.
Интерфейс каталогов идентичен и содержит следующие блоки:
- Метрики:
- Найденные уязвимости – отображает количество найденных в отчетах от сканеров уязвимостей которые связаны с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей);
- Уязвимые хосты – отображает количество хостов на которых обнаружены уязвимости связанные с уязвимостями из каталога, при нажатии на виджет перенаправляет в модуль Технические уязвимости с установленным фильтром по названию каталога (тип фильтра Группа уязвимостей).
- Табличную часть Каталог уязвимостей:
- Фильтр по полю Идентификатор - особенностью данного фильтра является автоматический разбор текста с последующим извлечением из текста идентификаторов. Для этого необходимо вставить произвольный текст с идентификаторами в поле и добавить в фильтр через кнопку плюс;
- Табличную часть с полями для каталогов CVE и БДУ ФСТЭК:
- Идентификатор - id уязвимости в базе уязвимостей;
- Описание - текстовое описание уязвимости;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- CVSS - числовая оценка уязвимости согласно источнику, с указанием даты выявления уязвимости экспертами, оценка отображается цветом согласно оценке CVSS 0.1 – 3.9 Low Зеленый,
4.0 – 6.9 Medium Желтый, 7.0 – 8.9 High Оранжевый, 9.0 – 10.0 Critical Красный.
- Табличную часть с полями для каталогов CVE :
- Дата бюллетеня - информация о дате публикации бюллетеня содержащего уязвимости;
- Идентификатор - id уязвимости в базе уязвимостей;
- Информация - текстовое описание уязвимости;
- Вектор атаки - локальный или сетевой вектор атаки;
- Обнаружено - флаг, данный статус отображается если уязвимость обнаружена в отчетах о сканировании;
- Наличие обновления - - флаг, данный статус отображается если база уязвимостей содержит информацию о наличии обновлений от производителя уязвимого ПО;
- Дата выявления - даты выявления уязвимости экспертами.
- Чекбокс «Только обнаруженные уязвимости» - устанавливает фильтр на табличную часть для отображения только обнаруженные уязвимости.
- Функционал для экспорта всех уязвимостей каталога.
- Для каталога добавляется функционал Варианты отображения:
- Бюллетени - изменяет отображение табличной части на реестр бюллетеней, отображает общее количество уязвимостей в бюллетени в поле Уязвимостей в бюллетени и статус по обнаружению в поле Обнаружено - данный статус отображается если хотя бы одна уязвимость из бюллетеня обнаружена в инфраструктуре.
- Уязвимости.
MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК
Данные из каталогов MITRE ATT&CK, БДУ ФСТЭК, Новая БДУ ФСТЭК могут использоваться для контекстного наполнения риска в модуле Риски.
Каждый из указанных каталогов сформирован по собственной схеме данных, которая не соответствует подходу оценки риска, используемому в сервисе. Но в основе своей указанные базы описывают все те же риски информационной безопасности, каждый под своим углом. Поэтому они добавлены в сервис и как отдельные компоненты и как основа для создания рисков, угроз или уязвимостей.
Каталоги могут использоваться в сервисе с целью:
- Облегчения процесса формирования рисков, угроз и уязвимостей;
- Обогащения информации по рискам (угрозам, уязвимостям) созданным в сервисе.
- Взгляда на компанию и оценку рисков через публичные каталоги угроз.
Сервис позволяет установить связь между объектами из каталогов и 3 типами объектов сервиса: угрозами, уязвимостями или рисками безопасности:
- Уязвимости могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK и способами реализации Новой БДУ ФСТЭК.
- Угрозы могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами и последствиями Новой БДУ ФСТЭК.
- Риски могут быть связаны с угрозами БДУ ФСТЭК, техниками ATT&CK, угрозами, способами реализации и последствиями Новой БДУ ФСТЭК.
Такой широкий выбор возможных связей сделан потому, что объекты из каталогов угроз могут быть или угрозой или уязвимостью в контексте сервиса.
Например, УБИ.004 Угроза аппаратного сброса пароля BIOS из БДУ ФСТЭК в контексте сервиса является уязвимостью, особенностью активов типа Микропрограммное обеспечение, которая может привести к реализации угрозы Несанкционированного локального доступа к BIOS.
В большинстве случаев угрозы из БДУ ФСТЭК и техники из MITRE ATT@CK являются именно уязвимостями, использование которых ведет к реализации угроз безопасности, но бывают и исключения.
Для рисков, угроз и уязвимостей из базы Community связи с каталогами угроз уже установлены.
Связь с каталогом угроз может быть прямой или косвенной. Например, если уязвимость связана с угрозой из БДУ ФСТЭК то и все риски, в составе которых есть данная уязвимость будут автоматически связаны с угрозой из БДУ ФСТЭК.
Каталог БДУ ФСТЭК - это реестр рисков от банка данных угроз безопасности информации ФСТЭК России.
Каждая угроза содержит описание, рекомендации к каким типам активов может быть применена эта угроза, классификация по свойствам информации и вероятные источники угрозы. Дополнительно в блоке Связанные риски указаны связанные риски, а в блоке Каталоги указываются связи с записями из других каталогов.
Каталог Новая БДУ ФСТЭК от банка данных угроз безопасности информации ФСТЭК России содержит:
- матрицу Способы реализации (возникновения угроз) - каждая ячейка которых содержит описание поверхности атаки: группу способов, уровень возможностей нарушителя, возможные реализуемые угрозы, компоненты объектов воздействия, возможные меры защиты;
- Негативные последствия - перечень негативных последствий в классификации ФСТЭК в виде кода и описания;
- Угрозы - реестр угроз с описанием, каждая угроза содержит возможные объекты воздействия и возможные способы реализации угроз;
- Объекты - перечень объектов последствий с описанием и компонентами которые могут входить в состав объекта;
- Компоненты - перечень компонентов объектов воздействия с указанием объектов воздействия на которых они могут располагаться;
- Нарушители - уровни возможностей нарушителей классифицированные по возможностям и компетенции;
- Меры защиты - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя.
Каталог MITRE ATT&CK содержит:
- Матрица - содержит тактики и техники злоумышленника, позволяет на основании тактики или техники создать риск или уязвимость, в матрице указаны связи с рисками в базе Community и с рисками в базе команды;
- Тактики - направления действия нарушителя на том или ином этапе cyberkillchane;
- Техники - конкретные действия нарушителя для достижения цели на конкретном шаге cyberkillchane;
- Контрмеры - в терминологии SECURITM это список требований выполнение которых сокращает возможности нарушителя;
- Преступные группы - описание APT группировок и их особенности и модель поведения;
- Инструменты - ПО используемое нарушителями для вредоносного воздействия.
Матрицы могут использоваться для построения тепловой карты рисков наложенных на матрицы угроз и уязвимостей.
Сертификаты СЗИ
Каталог Сертификаты СЗИ может быть использован в модуле Активы как источник информации для поля Номер сертификата СЗИ. В модуле активов есть возможность вести реестр СЗИ используемых в организации, в свою очередь каталог сертификатов СЗИ позволяет связать актив с каталогом через поле актива Номер сертификата СЗИ.
Каталог Сертификаты СЗИ содержит реестр с информацией о номере сертификата, сроке действия сертификата и сроке поддержки СЗИ. Кроме реестра каталог содержит следующие метрики:
- Имеющиеся СЗИ - отображает количество активов у которых заполнено поле Номер сертификата СЗИ;
- Скоро будут просрочены - отображает количество активов у которых срок действия сертификата меньше 90 календарных дней;
- Просроченные сертификаты - отображает количество активов у которых срок действия сертификата уже истек;
- Истекшая поддержка - отображает количество активов у которых срок действия сертификата уже истек.
Каждая метрика ведёт в реестр активов и выводит список СЗИ, отфильтрованный по соответствующим параметрам.
Нажав на просмотр сертификата, мы увидим карточку сертификата, сервис хранит информацию о следующих данных:
- Номер сертификата;
- Дата внесения в реестр;
- Срок действия сертификата;
- Срок окончания тех. поддержки;
- Наименование средства (шифр);
- Схема сертификации;
- Испытательная лаборатория;
- Орган по сертификации;
- Заявитель;
- Наименования документов соответствия;
- Реквизиты заявителя.
Реестр обновляется автоматически один раз в месяц.
Куда я попал?
CWE-35
CWE-35: Path Traversal
Идентификаторы ФСТЭК уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| BDU:2020-05197 | Уязвимость веб-интерфейса vManage программно-определяемой сети Cisco SD-WAN, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2020-05524 | Уязвимость программного средства для создания отчетов для развернутых средств безопасности Cisco Security Manager, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информ... |
| BDU:2021-00569 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю выполнить произвольные SQL-запросы |
| BDU:2021-00589 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-00590 | Уязвимость веб-интерфейса управления систем управления IP-телефонией Cisco Unified Communications Manager и Cisco Unified Communications Manager SME, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2021-00652 | Уязвимость веб-интерфейса управления системы обработки вызовов Cisco Unified Communications Manager IM Presence Service (Unified CM IMP), позволяющая нарушителю выполнить произвольные SQL-запросы |
| BDU:2021-01224 | Уязвимость компонента API и веб-интерфейса программного средства автоматизации Cisco Network Services Orchestrator, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2022-02688 | Уязвимость scada-сервера Elcomplus SmartPPT, связанная с ошибками проверки ввода данных, позволяющая нарушителю записывать произвольные файлы в произвольные места в файловой системе |
| BDU:2023-00248 | Уязвимость программного обеспечения для проведения видеоконференций Zoom для Android, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю произвести чтение и запись в каталоге данных приложения Zoom |
| BDU:2023-08478 | Уязвимость программного продукта для мониторинга устройств в реальном времени Delta Electronics InfraSuite Device Master, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю раскрыть информацию о пользователе, получить уче... |
| BDU:2023-08702 | Уязвимость программного продукта для мониторинга устройств в реальном времени Delta Electronics InfraSuite Device Master, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить запись... |
| BDU:2024-02734 | Уязвимость веб-интерфейса Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю читать и записывать произвольные файлы в систему |
| BDU:2024-03124 | Уязвимость программного обеспечения для управления и учета основных средств предприятия SAP Asset Accounting, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступн... |
| BDU:2024-03167 | Уязвимость системы мониторинга и управления IT-средами Pandora FMS, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю записывать произвольные файлы в систему и выполнить произвольный код |
| BDU:2024-05109 | Уязвимость компонента Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю читать произвольные файлы |
| BDU:2024-05239 | Уязвимость компонента.NET Core программного обеспечения "Сервис обновлений", позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05241 | Уязвимость обработчика WSDL-запросов программного обеспечения "Сервис обновлений", позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05243 | Уязвимость программного обеспечения "Сервис оправдательных документов", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ на чтение локальных файлов |
| BDU:2024-05246 | Уязвимость компонента .NET Core программного обеспечения "Сервис оправдательных документов", позволяющая нарушителю получить доступ на чтение и запись файлов |
| BDU:2024-05247 | Уязвимость программного обеспечения "Сервис оправдательных документов", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ на чтение и запись локальных файлов |
| BDU:2024-08938 | Уязвимость OPC-сервера WorkstationST, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить доступ к директории сервера |
| BDU:2025-00373 | Уязвимость конфигурации -safe-links демона rsyncd утилиты для передачи и синхронизации файлов Rsync, позволяющая нарушителю записывать произвольные файлы |
| BDU:2025-00377 | Уязвимость конфигурации --inc-recursive демона rsyncd утилиты для передачи и синхронизации файлов Rsync, позволяющая нарушителю записывать произвольные файлы |
| BDU:2025-02456 | Уязвимость системы управления базами данных WhoDB, связанная с возможностью использования памяти после освобождения, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-04605 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при экспорте объектов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код |
| BDU:2025-04606 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-04615 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при изменении полей объектов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и выполнить произвольный код |
| BDU:2025-04616 | Уязвимость системы автоматизации рекрутинговых процессов E-Staff, связанная с ошибками фильтрации данных при конвертации файлов, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии |
| BDU:2025-04843 | Уязвимость программного обеспечения для управления налоговыми обязательствами SAP Capital Yield Tax Management, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информаци... |
| BDU:2025-05711 | Уязвимость системы контроля доступа PERCo-Web, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-06071 | Уязвимость микропрограммного обеспечения промышленных коммутаторов Siemens Scalance LPE9403, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю восстанавливать резервные копии в системе |
| BDU:2025-06215 | Уязвимость микропрограммного обеспечения телефонов и акустических систем для конференц-связи Poly, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю раскрыть защищаемую информацию |
| BDU:2025-08502 | Уязвимость программы мониторинга компьютерной сети NetMRI, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю читать произвольные файлы |
| BDU:2025-09597 | Уязвимость файлового архиватора WinRAR, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить произвольный код |
| BDU:2025-10449 | Уязвимость микропрограммного обеспечения SIP-телефонов CyberData 011209 SIP Emergency Intercom, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю загружать произвольные файлы |
| BDU:2025-10633 | Уязвимость компонента Splunk Web платформы для операционного анализа Splunk Enterprise, позволяющая нарушителю вызвать отказ в обслуживании |
| BDU:2025-11397 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и повысить свои привилегии |
| BDU:2025-11404 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11407 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11410 | Уязвимость программного обеспечения для управления светофорами Q-Free MaxTime, связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-11423 | Уязвимость компонента управления данными виртуальных машин (VM) в средах Hyper-V программного обеспечения централизованного управления резервным копированием и восстановлением данных PowerProtect Data Manager, позволяющая нарушителю получить несанкци... |
| BDU:2025-11720 | Уязвимость операционных систем Cisco IOS XE, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю обойти существующие ограничения безопасности |
| BDU:2025-12874 | Уязвимость программного средства защиты данных посредством резервного копирования PowerProtect Data Domain, программного средства защиты данных в корпоративной среде с использованием облачных технологий APEX Protection Storage, платформы защиты данны... |
| BDU:2025-15408 | Уязвимость плагина out_file инструмента для сбора и обработки логов Fluent Bit, позволяющая нарушителю записать произвольный файл за пределами целевой директории |
| BDU:2025-16324 | Уязвимость плагина "Экспорт/Импорт товаров в Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-16325 | Уязвимость плагина "Импорт из Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| BDU:2025-16349 | Уязвимость плагина "Многофункциональный экспорт/импорт в Excel", связанная с неверным ограничением имени пути к каталогу, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
Идентификаторы CVE уязвимостей
Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
| Идентификатор | Описание |
|---|---|
| CVE-2018-3744 | The html-pages node module contains a path traversal vulnerabilities that allows an attacker to read any file from the server... |
| CVE-2020-26073 | Cisco SD-WAN vManage Directory Traversal Vulnerability |
| CVE-2020-27130 | Cisco Security Manager Path Traversal Vulnerability |
| CVE-2021-1132 | Cisco Network Services Orchestrator Path Traversal Vulnerability |
| CVE-2021-1282 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1355 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1357 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2021-1364 | Cisco Unified Communications Products Vulnerabilities |
| CVE-2022-2265 | Path traversal in Identity and Directory Management System |
| CVE-2022-24774 | Improper Input Validation leading to Path Traversal in CycloneDX BOM Repository Server |
| CVE-2022-36928 | Path Traversal in Zoom for Android Clients |
| CVE-2022-3693 | Path traversal in FileOrbis File Management System |
| CVE-2023-21415 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API overlay_del.cgi is vulnerable to path tr... |
| CVE-2023-21416 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API dynamicoverlay.cgi was vulnerable to a D... |
| CVE-2023-21417 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API manageoverlayimage.cgi was vulnerable t... |
| CVE-2023-21418 | Sandro Poppi, member of the AXIS OS Bug Bounty Program, has found that the VAPIX API irissetup.cgi was vulnerable to path tra... |
| CVE-2023-32714 | Path Traversal in Splunk App for Lookup File Editing |
| CVE-2023-39916 | Possible path traversal when storing RRDP responses |
| CVE-2023-41793 | Path Traversal and Untrusted Upload File |
| CVE-2023-46690 | Delta Electronics InfraSuite Device Master Path Traversal |
| CVE-2023-5800 | Insufficient input validation in VAPIX API create_overlay.cgi |
| CVE-2023-5885 | Franklin Electric Fueling Systems Colibri Path Traversal |
| CVE-2023-6252 | Path traversal vulnerability in Chameleon Power products |
| CVE-2023-7263 | Some Huawei home music system products have a path traversal vulnerability. Successful exploitation of this vulnerability may... |
| CVE-2023-7300 | Huawei Home Music System has a path traversal vulnerability. Successful exploitation of this vulnerability may cause the musi... |
| CVE-2024-0067 | Marinus Pfund, member of the AXIS OS Bug Bounty Program, has found the VAPIX API ledlimit.cgi was vulnerable for path traver... |
| CVE-2024-0113 | NVIDIA Mellanox OS, ONYX, Skyway, and MetroX-3 XCC contain a vulnerability in the web support, where an attacker can cause a... |
| CVE-2024-10857 | Product Input Fields for WooCommerce <= 1.9 - Authenticated (Contributor+) Arbitrary File Read |
| CVE-2024-11136 | Arbitrary file removal via path traversal in TCL Camera |
| CVE-2024-1886 | Absolute path traversal attack on LG Signage |
| CVE-2024-27901 | Directory Traversal vulnerability in SAP Asset Accounting |
| CVE-2024-2863 | Path traversal via file upload on LG LED Assistant |
| CVE-2024-36991 | Path Traversal on the “/modules/messaging/“ endpoint in Splunk Enterprise on Windows |
| CVE-2024-41972 | WAGO: Arbitrary File Overwrite Leading to Privileged File Read in Multiple Devices |
| CVE-2024-41973 | WAGO: Remote Arbitrary File Write with Root Privileges in multiple Devices |
| CVE-2024-45190 | Mage AI pipeline interaction request remote arbitrary file leak |
| CVE-2024-45248 | Multi-DNC – CWE-35: Path Traversal: '.../...//' |
| CVE-2024-47169 | Agnai vulnerable to Remote Code Execution via JS Upload using Directory Traversal |
| CVE-2024-47170 | Agnai File Disclosure Vulnerability: JSON via Path Traversal |
| CVE-2024-47171 | Agnai vulnerable to Relative Path Traversal in Image Upload |
| CVE-2024-49249 | WordPress SMSA Shipping plugin <= 2.3 - Arbitrary File Deletion vulnerability |
| CVE-2024-49258 | WordPress Limb Gallery plugin <= 1.5.7 - Arbitrary File Download vulnerability |
| CVE-2024-49770 | oak's path traversal allows transfer of hidden files within the served root directory |
| CVE-2024-50054 | mySCADA myPRO Path Traversal |
| CVE-2024-51582 | WordPress WP Hotel Booking plugin <= 2.1.4 - Local File Inclusion vulnerability |
| CVE-2024-52390 | WordPress CYAN Backup plugin <= 2.5.3 - Arbitrary File Download vulnerability |
| CVE-2024-52447 | WordPress Contact Page With Google Map plugin <= 1.6.1 - Arbitrary File Deletion vulnerability |
| CVE-2024-52498 | WordPress SP Blog Designer plugin <= 1.0.0 - Local File Inclusion vulnerability |
| CVE-2024-52885 | Path Traversal |
| CVE-2024-54216 | WordPress ARForms plugin <= 6.4.1 - Arbitrary File Read vulnerability |
| CVE-2024-54313 | WordPress FULL – Cliente plugin <= 3.1.25 - Local File Inclusion vulnerability |
| CVE-2024-54362 | WordPress GetShop ecommerce plugin <= 1.3 - Path Traversal vulnerability |
| CVE-2024-56045 | WordPress WPLMS plugin < 1.9.9.5 - Unauthenticated Arbitrary Directory Deletion vulnerability |
| CVE-2024-56049 | WordPress WPLMS plugin < 1.9.9.5.2 - Subscriber+ Arbitrary File Deletion vulnerability |
| CVE-2024-56055 | WordPress WPLMS plugin < 1.9.9.5.2 - Arbitrary Directory Deletion vulnerability |
| CVE-2024-56213 | WordPress Eventin plugin <= 4.0.7 - Contributor+ Limited Local File Inclusion vulnerability |
| CVE-2024-56214 | WordPress UserPro plugin <= 5.1.9 - Local File Inclusion vulnerability |
| CVE-2024-7608 | An authenticated user can access the restricted files from NX, EX, FX, AX, IVX and CMS using path traversal. |
| CVE-2025-0858 | Certain Poly Devices – Path Traversal Vulnerability - Arbitrary File Access by Unauthorized User |
| CVE-2025-20313 | Multiple vulnerabilities in Cisco IOS XE Software of could allow an authenticated, local attacker with level-15 privileges or... |
| CVE-2025-20320 | Denial of Service (DoS) through “User Interface - Views“ configuration page in Splunk Enterprise |
| CVE-2025-22205 | Extension - admiror-design-studio.com - Path traversal in the Admiror Gallery 4.x component for Joomla |
| CVE-2025-22288 | WordPress Smush Image Compression and Optimization plugin <= 3.17.0 - Directory Traversal vulnerability |
| CVE-2025-22786 | WordPress ElementInvader Addons for Elementor plugin <= 1.2.6 - Local File Inclusion vulnerability |
| CVE-2025-24685 | WordPress Morkva UA Shipping plugin <= 1.0.18 - Local File Inclusion vulnerability |
| CVE-2025-24786 | Path traversal opening Sqlite3 database in WhoDB |
| CVE-2025-24907 | Hitachi Vantara Pentaho Data Integration & Analytics – Path Traversal |
| CVE-2025-24908 | Hitachi Vantara Pentaho Data Integration & Analytics – Path Traversal |
| CVE-2025-25122 | WordPress WizShop Plugin <= 3.0.2 - Local File Inclusion vulnerability |
| CVE-2025-26351 | A CWE-35 "Path Traversal" in the template download mechanism in Q-Free MaxTime less than or equal to version 2.11.0 allows an... |
| CVE-2025-26352 | A CWE-35 "Path Traversal" in the template deletion mechanism in Q-Free MaxTime less than or equal to version 2.11.0 allows an... |
| CVE-2025-26353 | A CWE-35 "Path Traversal" in maxtime/api/sql/sql.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an authent... |
| CVE-2025-26354 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua (copy endpoint) in Q-Free MaxTime less than or equal to versio... |
| CVE-2025-26355 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows... |
| CVE-2025-26356 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua (setActive endpoint) in Q-Free MaxTime less than or equal to v... |
| CVE-2025-26357 | A CWE-35 "Path Traversal" in maxtime/api/database/database.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows... |
| CVE-2025-26876 | WordPress Search with Typesense Plugin <= 2.0.8 - Path Traversal vulnerability |
| CVE-2025-26935 | WordPress WP Job Portal plugin <= 2.2.8 - Local File Inclusion vulnerability |
| CVE-2025-26940 | WordPress Pie Register Premium plugin <= 3.8.3.2 - Path Traversal to Non-Arbitrary File Deletion vulnerability |
| CVE-2025-27010 | WordPress Tastyc < 2.5.2 - Local File Inclusion Vulnerability |
| CVE-2025-27274 | WordPress GPX Viewer plugin <= 2.2.11 - Path Traversal vulnerability |
| CVE-2025-27445 | Extension - rsjoomla.com - A path traversal vulnerability RSFirewall component 2.9.7 - 3.1.5 for Joomla |
| CVE-2025-30014 | Directory Traversal vulnerability in SAP Capital Yield Tax Management |
| CVE-2025-30515 | CyberData 011209 SIP Emergency Intercom Path Traversal |
| CVE-2025-30834 | WordPress Bit Assist plugin <= 1.5.4 - Path Traversal vulnerability |
| CVE-2025-30966 | WordPress WPJobBoard plugin < 5.11.1 - Path Traversal vulnerability |
| CVE-2025-32585 | WordPress Shop Products Filter Plugin <= 1.2 - Local File Inclusion vulnerability |
| CVE-2025-32950 | io.jmix.localfs:jmix-localfs has a Path Traversal in Local File Storage |
| CVE-2025-39467 | WordPress Wanderland theme <= 1.7.1 - Local File Inclusion Vulnerability |
| CVE-2025-39470 | WordPress Ivy School <= 1.6.0 - Local File Inclusion Vulnerability |
| CVE-2025-39475 | WordPress Arlo <= 6.0.3 - Local File Inclusion Vulnerability |
| CVE-2025-39491 | WordPress WHMpress plugin <= 6.2-revision-9 - Local File Inclusion vulnerability |
| CVE-2025-39492 | WordPress WHMpress plugin <= 6.2-revision-9 - Local File Inclusion vulnerability |
| CVE-2025-39598 | WordPress Administrator Z <= 2025.03.28 - Directory Traversal Vulnerability |
| CVE-2025-40573 | A vulnerability has been identified in SCALANCE LPE9403 (6GK5998-3GS00-2AC2) (All versions < V4.0 HF0). Affected devices are... |
| CVE-2025-41723 | Sauter: Directory Traversal in importFile SOAP Method |
| CVE-2025-42937 | Directory Traversal vulnerability in SAP Print Service |
| CVE-2025-43886 | Dell PowerProtect Data Manager, version(s) 19.19 and 19.20, Hyper-V contain(s) a Path Traversal: '.../...//' vulnerability. A... |
| CVE-2025-43907 | Dell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.3.0.15,... |
| CVE-2025-46441 | WordPress Section Widget plugin <= 3.3.1 - Path Traversal vulnerability |
| CVE-2025-47636 | WordPress List category posts <= 0.91.0 - Local File Inclusion Vulnerability |
| CVE-2025-47649 | WordPress Open Close WooCommerce Store <= 4.9.5 - Local File Inclusion Vulnerability |
| CVE-2025-48081 | WordPress Printeers Print & Ship plugin <= 1.17.0 - Directory Traversal vulnerability |
| CVE-2025-48090 | WordPress Blanka - One Page WordPress Theme Theme < 1.5 - Local File Inclusion Vulnerability |
| CVE-2025-48317 | WordPress WooCommerce Payment Gateway for Saferpay Plugin <= 0.4.9 - Path Traversal Vulnerability |
| CVE-2025-49295 | WordPress MediClinic <= 2.1 - Local File Inclusion Vulnerability |
| CVE-2025-49296 | WordPress GrandPrix <= 1.6 - Local File Inclusion Vulnerability |
| CVE-2025-49297 | WordPress Grill and Chow <= 1.6 - Local File Inclusion Vulnerability |
| CVE-2025-49451 | WordPress Aeroscroll Gallery – Infinite Scroll Image Gallery & Post Grid with Photo Gallery <= 1.0.12 - Directory Traversal V... |
| CVE-2025-4956 | WordPress Pro Bulk Watermark Plugin for WordPress Theme <= 2.0 - Path Traversal Vulnerability |
| CVE-2025-52712 | WordPress Post and Page Builder by BoldGrid – Visual Drag and Drop Editor <= 1.27.8 - Path Traversal Vulnerability |
| CVE-2025-52805 | WordPress Leyka <= 3.31.9 - Local File Inclusion Vulnerability |
| CVE-2025-52810 | WordPress Katerio - Magazine theme <= 1.5.1 - Local File Inclusion Vulnerability |
| CVE-2025-52811 | WordPress Davenport - Versatile Blog and Magazine WordPress Theme <= 1.3 - Local File Inclusion Vulnerability |
| CVE-2025-53417 | File Parsing Deserialization of Untrusted Data in DTM Soft |
| CVE-2025-53561 | WordPress Prevent files / folders access Plugin <= 2.6.0 - Path Traversal Vulnerability |
| CVE-2025-53880 | susemanager-tftpsync-recv allows arbitrary file creation and deletion due to path traversal |
| CVE-2025-5454 | An ACAP configuration file lacked sufficient input validation, which could allow a path traversal attack leading to potential... |
| CVE-2025-5598 | WF Steuerungstechnik GmbH - airleader MASTER - Path Traversal |
| CVE-2025-58972 | WordPress Barcode Scanner with Inventory & Order Manager plugin <= 1.10.4 - Path Traversal vulnerability |
| CVE-2025-64253 | WordPress Health Check & Troubleshooting plugin <= 1.7.1 - Path Traversal vulnerability |
| CVE-2025-66004 | Local privilege escalation in usbmuxd from arbitrary local user to usbmux |
| CVE-2025-67914 | WordPress VidMov theme <= 2.3.8 - Path Traversal vulnerability |
| CVE-2025-68428 | jsPDF has Local File Inclusion/Path Traversal vulnerability |
| CVE-2025-8051 | Path traversal validation vulnerability has been discovered in opentext Flipper. |
| CVE-2025-8088 | Path traversal vulnerability in WinRAR |
НКЦКИ уязвимости
Бюллетени НКЦКИ - уязвимости ПО
| Идентификатор | Дата бюллетеня | Описание |
|---|---|---|
| VULN:20240719-10 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис обновлений" |
| VULN:20240719-2 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-3 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-6 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис оправдательных документов" |
| VULN:20240719-8 | 19.07.2024 | Чтение локальных файлов в Кейсистемс "Сервис обновлений" |
| VULN:20241213-47 | 13.12.2024 | Выполнение произвольного кода в SonicWall SMA100 series |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.