CVE Vulnerability Catalog

Słaba kontrola dostępu w OpenText PVCS Version Manager umożliwia potencjalne obejście uwierzytelniania oraz pobieranie plików.

Wykorzystanie twardo zakodowanych poświadczeń w Kiloview NDI umożliwia nieautoryzowanym użytkownikom ominięcie procesu uwierzytelniania. Problem ten dotyczy modeli Kiloview NDI N3, N3-s, N4, N20, N30, N40 i został naprawiony w wersji oprogramowania układowego 2.02.0227.

In MISP before version 2.4.187, the add_misp_export function in app/Controller/EventsController.php does not properly check for a valid file upload.

In MISP before version 2.4.187, the __uploadLogo function in app/Controller/OrganisationsController.php does not properly check for a valid logo upload.

Podatność CVE-2024-1202 w XPodas Octopod umożliwia obejście uwierzytelniania z powodu podstawowej słabości. Problem dotyczy wersji Octopod przed v1.

An SSRF vulnerability in REBUILD v.3.5 allows a remote attacker to obtain sensitive information and execute arbitrary code via the FileDownloader.java, proxyDownload, and URL parameters.

Zidentyfikowano potencjalną podatność w platformie OpenText ArcSight. Podatność ta może być wykorzystywana zdalnie.

Wtyczka Create by Mediavine dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'id' we wszystkich wersjach do i włącznie z 1.9.4. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W podatności CVE-2024-28389 występuje luka typu SQL injection w KnowBand spinwheel w wersji 3.0.3 i wcześniejszych, która pozwala zdalnemu atakującemu na uzyskanie podwyższonych uprawnień oraz dostęp do wrażliwych informacji poprzez metodę SpinWheelFrameSpinWheelModuleFrontController::sendEmail().

Wersje wtyczki Advanced Plugins reportsstatistics do 1.3.20 zawierają lukę, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez moduł Raporty sprzedaży, Statystyki, Pola niestandardowe i Eksport.

W systemie zamawiania leków Open Source Medicine Ordering System w wersji 1.0 odkryto podatność na wstrzyknięcie SQL poprzez parametr daty w pliku /admin/reports/index.php.

Podatność CVE-2024-29135 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Themefic Tourfic. Problem ten występuje w wersjach Tourfic od n/a do 2.11.15 włącznie.

W systemie Cegid Meta4 HR zidentyfikowano podatność na nieograniczone przesyłanie plików, która umożliwia atakującemu przesyłanie złośliwych plików na serwer za pośrednictwem pliku '/config/espanol/update_password.jsp'. Modyfikując parametr 'M4_NEW_PASSWORD', atakujący może przechować złośliwy plik JSP w katalogu plików, który zostanie wykonany po załadowaniu w aplikacji.

Podatność CVE-2024-2051 dotyczy niewłaściwego ograniczenia nadmiernych prób uwierzytelnienia, co może prowadzić do przejęcia konta oraz nieautoryzowanego dostępu do systemu w wyniku ataków typu brute-force na formularz logowania.

FitNesse we wszystkich wersjach pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonywanie dowolnych poleceń systemu operacyjnego. Istnieją kontrowersje co do tego, czy jest to rzeczywiście podatność, ponieważ niektórzy twórcy FitNesse twierdzą, że to specyfikacja produktu.

Rocket.Chat.Audit w wersji do 5ad78e8 zależy od biblioteki filecachetools, która nie jest dostępna w PyPI.

Moduł Kossy w wersji przed 0.60 dla Perla umożliwia przejęcie JSON z powodu niewłaściwego obsługiwania nagłówka X-Requested-With.

Moduł Net::IPV4Addr w wersji 0.10 dla Perla nieprawidłowo traktuje nadmiarowe zera w ciągu adresu IP, co w niektórych sytuacjach pozwala atakującym na obejście kontroli dostępu opartej na adresach IP.

W module CryptX przed wersją 0.062 dla Perla, funkcje gcm_decrypt_verify() oraz chacha20poly1305_decrypt_verify() nie weryfikują tagu. Może to prowadzić do nieautoryzowanego odszyfrowania danych.

Urządzenia Siklu TG Terragraph przed wersją 2.1.1 mają twardo zakodowane hasło roota, które zostało ujawnione w wyniku ataku brute force na hash MD5. Hasło to może być używane do 'debug login' przez administratora.