CVE Vulnerability Catalog

Na maszynie serwera VSPC, pod warunkiem, że agent zarządzający jest autoryzowany na serwerze, możliwe jest wykonanie zdalnego kodu (RCE).

W podatności CVE-2024-11737 występuje niewłaściwa walidacja danych wejściowych, co może prowadzić do odmowy usługi oraz utraty poufności i integralności kontrolera, gdy do urządzenia zostanie wysłany nieautoryzowany, spreparowany pakiet Modbus.

A SQL injection vulnerability was found in Phpgurukul's Beauty Parlour Management System v1.1 in `login.php` via the `emailcont` parameter. An attacker can manipulate this parameter to execute unauthorized database queries.

A vulnerability in BYD Dilink Headunit System versions 3.0 to 4.0 allows attackers to bypass authentication via a brute-force attack. The flaw is due to the lack of login attempt restrictions.

The package manager pnpm prior to version 9.15.0 mishandles overrides and global cache. Overrides from one workspace leak into npm metadata saved in global cache, potentially leading to unauthorized code execution in other workspaces.

MOBATIME Network Master Clock - DTS 4801 umożliwia atakującym uzyskanie początkowego dostępu za pomocą SSH, wykorzystując domyślne dane logowania.

W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem związany z używaniem wspólnego konta administracyjnego. Uwierzytelnienie tego użytkownika opiera się na niebezpiecznym, statycznym sekrecie, który jest wspólny dla wszystkich dotkniętych wersji oprogramowania.

W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem, który pozwala atakującemu na ominięcie ograniczeń dostępu dla użytkowników wewnętrznych. Atakujący może uwierzytelnić się jako użytkownik wewnętrzny z sieci, jeśli zna jego hasło.

W urządzeniu COMFAST CF-WR630AX w wersji v2.7.0.2 odkryto podatność na twardo zakodowane hasło w pliku /etc/shadow, co umożliwia atakującym logowanie się jako root.

Nette Database w wersjach do 3.2.4 umożliwia wstrzykiwanie SQL w określonych sytuacjach, gdy nieufny filtr jest bezpośrednio przekazywany do metody where. Należy zauważyć, że dostawca twierdzi, iż jest to zamierzone zachowanie.

Usługa dokumentów Adobe pozwala atakującemu z uprawnieniami administratora na wysłanie spreparowanego żądania z podatnej aplikacji webowej. Może to prowadzić do podatności typu Server-Side Request Forgery, umożliwiając atakującemu dostęp do wewnętrznych systemów za zaporami sieciowymi.

Wersje unstructured do 0.14.2 są podatne na atak typu XML External Entity (XXE) poprzez XMLParser. Atak ten może prowadzić do ujawnienia wrażliwych danych lub wykonania nieautoryzowanych operacji.

Problem w funkcji decryptCookie w pliku index.js biblioteki cookie-encrypter w wersji 1.0.1 umożliwia atakującym przeprowadzenie ataku typu bit flipping.

Serviceware Processes w wersjach od 6.0 do 7.3 przed 7.4 umożliwia atakującym, którzy nie mają ważnej autoryzacji, wysyłanie specjalnie skonstruowanych żądań HTTP do punktu końcowego usługi, co prowadzi do zdalnego wykonania kodu.

Pentaminds CuroVMS version 2.0.1 was found to have exposed credentials. This means authentication data (e.g., passwords, API keys) is stored or transmitted in a way that allows unauthorized reading.

Podatność CVE-2024-8259 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w programie NatraCar B2B Dealer Management. Problem ten dotyczy wersji programu dostępnych do 09.12.2024.

W podatności CVE-2024-54215 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie roninwp Revy. Problem dotyczy wersji Revy od n/a do 1.18 włącznie.

W podatności CVE-2024-53822 występuje nieograniczony upload plików o niebezpiecznym typie w Genetech Pie Register Premium. Problem ten dotyczy wersji Pie Register Premium przed 3.8.3.3.

Brak autoryzacji w wtyczce SeventhQueen Sweet Date umożliwia eskalację uprawnień. Problem ten dotyczy wersji Sweet Date od n/a do 3.7.3 włącznie.

W podatności CVE-2023-32117 występuje brak autoryzacji w aplikacji SoftLab Integrate Google Drive, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Integrate Google Drive od n/a do 1.1.99.