CQWeb (aka the web interface) in IBM Rational ClearQuest before 7.1.1 does not properly handle use of legacy URLs for automatic login, which

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• ibm rational clearcaseдо 7.1 включительно
• ibm rational clearcase7.0.0.1
• ibm rational clearcase7.0.0.2
• ibm rational clearcase7.0.0.4
• ibm rational clearcase7.0.1.1
• ibm rational clearcase7.0.1.3
• ibm rational clearquest2007
• ibm rational clearquest2008
• ibm rational clearquest5.00
• ibm rational clearquest5.20
• ibm rational clearquest6.00
• ibm rational clearquest6.10
• ibm rational clearquest6.12
• ibm rational clearquest6.13
• ibm rational clearquest6.14
• ibm rational clearquest6.15
• ibm rational clearquest6.16
• ibm rational clearquest7.0
• ibm rational clearquest7.0.0.1
• ibm rational clearquest7.0.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-4059IBM Rational ClearCase 1.0.0.0 GIT connector does not sufficiently protect the document database password.
  40В плане
• CVE-2014-6221The MSCAPI/MSCNG interface implementation in GSKit in IBM Rational ClearCase 7.1.2.x before 7.1.2.17, 8.0.0.x before 8.0.0.14, and 8.0.1.x b
  38Наблюдать
• CVE-2014-0931Multiple XML external entity (XXE) vulnerabilities in the (1) CCRC WAN Server / CM Server, (2) Perl CC/CQ integration trigger scripts, (3) C
  37Наблюдать
• CVE-2015-5039The Remote Client and change management integrations in IBM Rational ClearCase 7.1.x, 8.0.0.x before 8.0.0.18, and 8.0.1.x before 8.0.1.11 d
  29Наблюдать
• CVE-2013-5416Unspecified vulnerability in IBM Rational ClearCase through 7.1.2.12, 8.0.0.x before 8.0.0.9, and 8.0.1.x before 8.0.1.2 allows local users
  28Наблюдать
• CVE-2013-5415Buffer overflow in IBM Rational ClearCase through 7.1.2.12, 8.0.0.x before 8.0.0.9, and 8.0.1.x before 8.0.1.2 allows local users to gain pr
  28Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.