CVE Vulnerability Catalog

Wtyczka Realtyna Organic IDX zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 4.14.4.

W komponentach Xiongmai AHB7804R-MH-V2, AHB8004T-GL, AHB8008T-GL, AHB7004T-GS-V3, AHB7004T-MHV2, AHB8032F-LME oraz XM530_R80X30-PQ_8M odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności usługi Sofia, która umożliwia manipulację danymi prowadzącą do niewłaściwych kontroli dostępu.

Podatność CVE-2024-28878 dotyczy urządzenia IO-1020 Micro ELD, które pobiera kod źródłowy lub plik wykonywalny z sąsiedniej lokalizacji i wykonuje go bez wystarczającej weryfikacji pochodzenia lub integralności kodu.

Podatność CVE-2023-51409 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w silniku AI Jordy Meow: ChatGPT Chatbot. Problem ten występuje w wersjach od n/a do 1.9.98.

Wersje pakietu mysql2 przed 3.9.4 są podatne na zdalne wykonanie kodu (RCE) poprzez funkcję readCodeFor z powodu niewłaściwej walidacji wartości supportBigNumbers i bigNumberStrings.

W MoveTo występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.2. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Plane, narzędzie do zarządzania projektami typu open-source, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 0.17-dev. Problem ten może umożliwić atakującemu wysyłanie dowolnych żądań z serwera hostującego aplikację, co może prowadzić do nieautoryzowanego dostępu do systemów wewnętrznych.

Zidentyfikowano podatność w klasie `exec_utils` pakietu `llama_index`, szczególnie w funkcji `safe_eval`, która umożliwia wstrzykiwanie poleceń prowadzące do wykonania dowolnego kodu. Problem wynika z niewystarczającej walidacji danych wejściowych, co może być wykorzystane do obejścia ograniczeń metod i wykonania nieautoryzowanego kodu.

Podatność CVE-2024-1643 pozwala atakującemu na dołączenie do organizacji, znając jej identyfikator, co umożliwia mu odczyt i modyfikację wszystkich danych w tej organizacji. Problem wynika z niewystarczającej weryfikacji uprawnień użytkowników przy dołączaniu do organizacji.

A command injection vulnerability allows an attacker to perform command injection on Windows applications that indirectly depend on the CreateProcess function when specific conditions are satisfied.

Joda Time v2.12.5 was reported to have a potential NullPointerException in the `wordBased(Locale)` method of the `PeriodFormat` class. However, this is disputed by multiple third parties who believe there is insufficient evidence for the vulnerability, and the submission may have originated from a tool not robust enough for vulnerability identification.

Wtyczka MasterStudy LMS dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 3.3.3 włącznie, poprzez parametr 'template'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Wtyczka Network Summary dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'category' we wszystkich wersjach do 2.0.11 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących zapytań.

Wtyczka Simple Job Board dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.11.0 włącznie, poprzez deserializację niezaufanego wejścia w funkcji job_board_applicant_list_columns_value. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.

Podatność CVE-2023-1083 pozwala nieautoryzowanemu zdalnemu atakującemu, który zna nazwę tematu MQTT, na wysyłanie i odbieranie wiadomości. Atakujący może również wykonywać polecenia konfiguracyjne GET/SET, polecenia restartu oraz aktualizacje oprogramowania.

A NullPointerException was discovered in JFreeChart v1.5.4 via the component /chart/annotations/CategoryLineAnnotation. However, multiple third parties dispute the existence of this vulnerability, suggesting the submission may have been based on a tool that is not sufficiently robust for vulnerability identification.

A potential stack overflow was discovered in Apfloat v1.10.1 in the modPow method of the DoubleModMath class. However, multiple third parties dispute the validity of this report, citing insufficient evidence for the vulnerability's existence.

A NullPointerException was discovered in JGraphT Core version 1.5.2 in the compare method of the ToleranceDoubleComparator class. Note: multiple third parties dispute the existence of this vulnerability, suggesting the submission may be based on an insufficiently robust tool.

Wersje ZLMediaKit od 1.0 do 8.0 zawierają podatność na niewłaściwą kontrolę dostępu, która pozwala zdalnym atakującym na eskalację uprawnień oraz uzyskanie poufnych informacji. Domyślnie w systemie aplikacji włączony jest interfejs API http, który używa metody parametru secret do uwierzytelniania, jednak secret jest domyślnie zakodowany.

Podatność CVE-2024-31345 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Sukhchain Singh Auto Poster. Problem ten występuje w wersjach Auto Poster od n/a do 1.2.