PUBLIÉES EN

novembre 2021

1 644 CVE, des plus récentes aux plus anciennes.

← octobre 2021 décembre 2021 →

CVE-2021-43790Les environnements d'exécution Lucet WebAssembly sont affectés par une erreur de gestion de la mémoire pouvant entraîner une corruption ou des situations de compétition (data races… 8.5 ÉLEVÉE

CVE-2021-44429La version 4.4.0 de Serva est susceptible de planter lors du traitement de certaines requêtes de lecture TFTP. Un attaquant distant peut déclencher ce déni de service en envoyant u… 7.5 ÉLEVÉE

CVE-2021-44428La version 2.15 de Pinkie est affectée par une faille dans la gestion des requêtes de lecture TFTP. Un attaquant distant peut faire planter le démon, provoquant ainsi un déni de se… 7.5 ÉLEVÉE

CVE-2021-44427Les versions de Rosario Student Information System antérieures à la 8.1.1 sont affectées par une faille dans la page `/Side.php`. Un attaquant distant non authentifié peut envoyer … 9.8 CRITIQUE

CVE-2021-43788Nodebb is an open source Node.js based forum software. Prior to v1.18.5, a path traversal vulnerability was present that allowed users to access JSON files outside of the expected … 5.0 MOYENNE

CVE-2021-43787Les versions du logiciel de forum NodeBB antérieures à la v1.18.5 sont affectées par une faille dans le module de téléchargement qui permet à un attaquant d'injecter du JavaScript … 9.0 CRITIQUE

CVE-2021-43786Le logiciel de forum NodeBB est affecté par une faille dans sa manière de vérifier les jetons API. Un attaquant non authentifié ayant un accès réseau à votre serveur peut exploiter… 9.8 CRITIQUE

CVE-2021-43783Les installations Backstage utilisant une version obsolète de `@backstage/plugin-scaffolder-backend` sont vulnérables à une faille d'écriture de fichier arbitraire. Un attaquant di… 8.5 ÉLEVÉE

CVE-2021-34800L'agent Acronis pour Windows, Linux et macOS peut inscrire par inadvertance des informations sensibles dans ses fichiers journaux. Un attaquant distant peut exploiter cette faille … 7.5 ÉLEVÉE

CVE-2021-44203Stored cross-site scripting (XSS) was possible in protection plan details. The following products are affected: Acronis Cyber Protect 15 (Windows, Linux) before build 28035 5.4 MOYENNE

CVE-2021-44202Stored cross-site scripting (XSS) was possible in activity details. The following products are affected: Acronis Cyber Protect 15 (Windows, Linux) before build 28035 5.4 MOYENNE

CVE-2021-44201Cross-site scripting (XSS) was possible in notification pop-ups. The following products are affected: Acronis Cyber Protect 15 (Windows, Linux) before build 28035 6.1 MOYENNE

CVE-2021-44200Self cross-site scripting (XSS) was possible on devices page. The following products are affected: Acronis Cyber Protect 15 (Windows, Linux) before build 28035 5.4 MOYENNE

CVE-2021-44199DLL hijacking could lead to denial of service. The following products are affected: Acronis Cyber Protect 15 (Windows) before build 28035, Acronis Agent (Windows) before build 2730… 5.5 MOYENNE

CVE-2021-44198Les installations de Acronis Cyber Protect 15 sur Windows (antérieures à la version 28035) sont vulnérables à une faille de détournement de DLL (DLL hijacking). Un attaquant local … 7.8 ÉLEVÉE

CVE-2021-42365The Asgaros Forums WordPress plugin is vulnerable to Stored Cross-Site Scripting due to insufficient escaping via the name parameter found in the ~/admin/tables/admin-structure-tab… 4.8 MOYENNE

CVE-2021-42364Les sites WordPress utilisant l'extension Stetic (version 1.0.6 ou antérieure) sont vulnérables à une attaque de type Cross-Site Request Forgery (CSRF). Un attaquant peut injecter … 8.8 ÉLEVÉE

CVE-2021-42358Les sites WordPress utilisant l'extension Contact Form With Captcha (version 1.6.2 et versions antérieures) sont susceptibles de subir une attaque par falsification de requête inte… 8.8 ÉLEVÉE

CVE-2021-43691TripExpress v1.1 est vulnérable à une faille de manipulation de chemin dans son processus de chargement des polices. Un attaquant distant non authentifié peut exploiter cette faill… 9.8 CRITIQUE

CVE-2021-3802A vulnerability found in udisks2. This flaw allows an attacker to input a specially crafted image file/USB leading to kernel panic. The highest threat from this vulnerability is to… 4.2 MOYENNE

CVE-2021-39995Some Huawei products use the OpenHpi software for hardware management. A function that parses data returned by OpenHpi contains an out-of-bounds read vulnerability that could lead … 6.5 MOYENNE

CVE-2021-43693Le panneau de contrôle Vesta (version 0.9.8-24) contient une faille qui permet à un attaquant d'inclure et d'exécuter des fichiers arbitraires sur le serveur. Cela peut mener à une… 9.8 CRITIQUE

CVE-2021-43692youtube-php-mirroring (last update Jun 9, 2017) is affected by a Cross Site Scripting (XSS) vulnerability in file ytproxy/index.php. 6.1 MOYENNE

CVE-2021-43695issabelPBX version 2.11 is affected by a Cross Site Scripting (XSS) vulnerability. In file page.backup_restore.php, the exit function will terminate the script and print the messag… 6.1 MOYENNE

CVE-2021-43697Workerman-ThinkPHP-Redis (last update Mar 16, 2018) is affected by a Cross Site Scripting (XSS) vulnerability. In file Controller.class.php, the exit function will terminate the sc… 6.1 MOYENNE

CVE-2021-43696twmap v2.91_v4.33 is affected by a Cross Site Scripting (XSS) vulnerability. In file list.php, the exit function will terminate the script and print the message to the user. The me… 6.1 MOYENNE

CVE-2021-43698phpWhois (last update Jun 30 2021) is affected by a Cross Site Scripting (XSS) vulnerability. In file example.php, the exit function will terminate the script and print the message… 6.1 MOYENNE

CVE-2021-24927The My Calendar WordPress plugin before 3.2.18 does not sanitise and escape the callback parameter of the mc_post_lookup AJAX action (available to any authenticated user) before ou… 5.4 MOYENNE

CVE-2021-24918The Smash Balloon Social Post Feed WordPress plugin before 4.0.1 did not have any privilege or nonce validation before saving the plugin's setting. As a result, any logged-in user … 5.4 MOYENNE

CVE-2021-24915Les sites WordPress utilisant l'extension Contest Gallery (versions antérieures à 13.1.0.6) sont vulnérables à une faille d'injection SQL. Un attaquant distant non authentifié peut… 9.8 CRITIQUE

CVE-2021-24908The Check & Log Email WordPress plugin before 1.0.4 does not escape the d parameter before outputting it back in an attribute, leading to a Reflected Cross-Site Scripting 6.1 MOYENNE

CVE-2021-24899The Media-Tags WordPress plugin through 3.2.0.2 does not sanitise and escape any of its Labels settings, which could allow high privilege users to perform Cross-Site Scripting atta… 4.8 MOYENNE

CVE-2021-24889Les sites WordPress utilisant l'extension Ninja Forms dans une version antérieure à la 3.6.4 sont vulnérables aux attaques par injection SQL. Un attaquant disposant de privilèges a… 7.2 ÉLEVÉE

CVE-2021-24883The Popup Anything WordPress plugin before 2.0.4 does not escape the Link Text and Button Text fields of Popup, which could allow users with a role as low as Contributor to perform… 5.4 MOYENNE

CVE-2021-24876The Registrations for the Events Calendar WordPress plugin before 2.7.5 does not escape the v parameter before outputting it back in an attribute, leading to a Reflected Cross-Site… 6.1 MOYENNE

CVE-2021-24860Les sites WordPress utilisant l'extension BSK PDF Manager (version 3.1.1 ou antérieure) sont vulnérables à une attaque par injection SQL. Un attaquant disposant de privilèges admin… 7.2 ÉLEVÉE

CVE-2021-24842The Bulk Datetime Change WordPress plugin before 1.12 does not enforce capability checks which allows users with Contributor roles to 1) list private post titles of other users and… 5.4 MOYENNE

CVE-2021-24822The Stylish Cost Calculator WordPress plugin before 7.0.4 does not have any authorisation and CSRF checks on some of its AJAX actions (available to authenticated users), which coul… 5.4 MOYENNE

CVE-2021-24811The Shop Page WP WordPress plugin before 1.2.8 does not sanitise and escape some of the Product fields, allowing high privilege users to perform Cross-Site Scripting attacks even w… 4.8 MOYENNE

CVE-2021-24768The WP RSS Aggregator WordPress plugin before 4.19.2 does not properly sanitise and escape the URL to Blacklist field, allowing malicious HTML to be inserted by high privilege user… 4.8 MOYENNE

CVE-2021-24755Les sites WordPress utilisant l'extension myCred (version 2.3 ou antérieure) sont vulnérables à une faille d'injection SQL. Tout utilisateur connecté, quel que soit son niveau de p… 8.8 ÉLEVÉE

CVE-2021-24751The GenerateBlocks WordPress plugin before 1.4.0 does not validate the generateblocks/container block's tagName attribute, which could allow users with a role as low as contributor… 5.4 MOYENNE

CVE-2021-24749The URL Shortify WordPress plugin before 1.5.1 does not have CSRF check in place when bulk-deleting links or groups, which could allow attackers to make a logged in admin delete ar… 4.3 MOYENNE

CVE-2021-24748Les sites WordPress utilisant l'extension Email Before Download (versions antérieures à 6.8) sont vulnérables aux injections SQL via les paramètres order et orderby. Un attaquant d… 8.8 ÉLEVÉE

CVE-2021-24745The About Author Box WordPress plugin before 1.0.2 does not sanitise and escape the Social Profiles field values before outputting them in attributes, which could allow user with a… 5.4 MOYENNE

CVE-2017-20008The myCred WordPress plugin before 1.7.8 does not sanitise and escape the user parameter before outputting it back in the Points Log admin dashboard, leading to a Reflected Cross-S… 6.1 MOYENNE

CVE-2021-38283Wipro Holmes Orchestrator 20.4.1 est affecté par une faille qui permet à toute personne disposant d'un accès réseau de lire les fichiers journaux (logs) de l'application. Un attaqu… 7.5 ÉLEVÉE

CVE-2021-38147Wipro Holmes Orchestrator (version 20.4.1) contient une faille qui permet à des attaquants distants de télécharger des rapports système sensibles, notamment des données d'infrastru… 7.5 ÉLEVÉE

CVE-2019-8922Les systèmes Linux utilisant la pile Bluetooth BlueZ (versions 5.48 et antérieures) sont concernés. Un attaquant se trouvant à portée physique du Bluetooth peut envoyer une requête… 8.8 ÉLEVÉE

CVE-2019-8921An issue was discovered in bluetoothd in BlueZ through 5.48. The vulnerability lies in the handling of a SVC_ATTR_REQ by the SDP implementation. By crafting a malicious CSTATE, it … 6.5 MOYENNE