CVE Vulnerability Catalog

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w Geek Code Lab Login As Users umożliwia eskalację uprawnień. Problem ten dotyczy wersji Login As Users od n/a do 1.4.2.

W podatności CVE-2024-43261 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia zdalne dołączanie plików. Problem dotyczy wersji Compute Links od n/a do 1.2.1.

Podatność związana z deserializacją niezaufanych danych w systemie Crew HRM, która dotyczy wersji od n/a do 1.1.1 włącznie. Może prowadzić do nieautoryzowanego dostępu do danych lub wykonania niepożądanych operacji.

Podatność w zarządzaniu uprawnieniami w aplikacji eyecix JobSearch umożliwia eskalację uprawnień. Problem ten dotyczy wersji JobSearch od n/a do 2.3.4.

Podatność CVE-2024-43242 dotyczy deserializacji niezaufanych danych w wtyczce Ultimate Membership Pro. Problem ten występuje w wersjach od n/a do 12.7 włącznie.

Podatność związana z niewłaściwą autoryzacją w wtyczce Ultimate Membership Pro od azzaroco. Problem ten dotyczy wersji Ultimate Membership Pro od n/a do 12.7 włącznie.

In the Linux kernel, in the RDMA/iwcm subsystem, there is a use-after-free vulnerability related to destroying CM IDs. iw_conn_req_handler() associates a new rdma_id_private with an existing iw_cm_id, and rdma_destroy_id() frees both. The fix ensures that cm_work_handler() does not trigger use-after-free by waiting for all pending work to finish before freeing rdma_id_private.

In the Linux kernel's TIPC module, tipc_udp_addr2str() does not return a non-zero value on invalid UDP address, which can lead to buffer overflow in tipc_media_addr_printf(). The fix returns 1 on invalid address.

Wtyczki InPost dla WooCommerce oraz InPost PL dla WordPress są podatne na nieautoryzowany dostęp i usuwanie danych z powodu braku sprawdzenia uprawnień w funkcji 'parse_request' we wszystkich wersjach do 1.4.0 (dla InPost dla WooCommerce) oraz 1.4.4 (dla InPost PL). Umożliwia to nieautoryzowanym atakującym odczyt i usuwanie dowolnych plików na serwerach Windows.

In Silverpeas version 6.4.2 and lower, the password change function does not enforce password complexity requirements, allowing weak passwords to be set.

W podatności CVE-2024-42757 w routerze Asus RT-N15U w wersji 3.0.0.4.376_3754 występuje luka typu injection, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez stronę funkcji netstat.

Podatność w Xiexe XSOverlay przed wersją 647 umożliwia zdalnym stronom internetowym wysyłanie złośliwych poleceń do interfejsu API WebSocket, co prowadzi do wykonania dowolnego kodu.

SequenceServer, a tool for rapidly setting up a BLAST+ server, failed to properly sanitize user input and query parameters in several HTTP endpoints. This could be exploited to inject and run unwanted shell commands. The vulnerability was fixed in version 3.1.2.

An issue in D3D Security D3D IP Camera (D8801) v.V9.1.17.1.4-20180428 allows a local attacker to execute arbitrary code via a crafted payload. The vulnerability stems from improper input validation.

Podatność CVE-2024-43160 w BerqWP umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co prowadzi do wstrzykiwania kodu. Problem dotyczy wersji BerqWP od n/a do 1.7.6.

Podatność związana z nieprawidłowym przypisaniem uprawnień występuje w WofficeIO Woffice, obejmując wersje od n/a do 5.4.10. Może to prowadzić do nieautoryzowanego dostępu do funkcji lub danych.

Podatność CVE-2024-43141 dotyczy deserializacji niezaufanych danych w bazie danych uczestników Roland Barker, xnau webdesign, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji bazy danych uczestników od n/a do 2.5.9.2.

In SAP BusinessObjects Business Intelligence Platform, if Single Sign-On is enabled on Enterprise authentication, an unauthorized user can get a logon token using a REST endpoint. The attacker can fully compromise the system, resulting in high impact on confidentiality, integrity, and availability.