CVE Vulnerability Catalog

MailGates i MailAudit firmy Openfind nieprawidłowo filtrują dane wejściowe użytkownika podczas analizy załączników e-mail. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność do wstrzykiwania poleceń systemowych i ich wykonywania na zdalnym serwerze.

Nieprawidłowe ustawienia uprawnień dla aplikacji mobilnej (com.transsion.carlcare) mogą prowadzić do ryzyka związanego z bezpieczeństwem haseł i kont użytkowników.

Wersje GNU Global do 6.6.12 mają lukę, która pozwala na wykonanie kodu w sytuacjach, gdy ścieżka bazy danych (dbpath) jest nieufna, ponieważ mogą być używane metaznaki powłoki.

Wtyczka Video Gallery – YouTube Playlist, Channel Gallery autorstwa YotuWP dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 1.3.13 poprzez parametr ustawień. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Wtyczka Woody code snippets – Insert Header Footer Code, AdSense Ads dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 2.5.0 poprzez shortcode 'insert_php'. Problem wynika z braku ograniczeń w dostępie do tej funkcjonalności dla użytkowników z wysokimi uprawnieniami.

Wtyczka WooCommerce - Social Login dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do i włącznie z 2.6.2 poprzez deserializację nieufnych danych wejściowych z podatnego parametru 'woo_slg_verify'. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

W oprogramowaniu układowym TerraMaster TOS w wersji do 5.1 występują twardo zakodowane dane uwierzytelniające, które umożliwiają zdalnemu atakującemu pomyślne zalogowanie się do serwera pocztowego lub webmail. Te same dane mogą być również wykorzystane do logowania się do panelu administracyjnego i wykonywania działań z uprawnieniami administratora.

Nieprawidłowa kontrola dostępu w interfejsie UART/Serial w routerze LB-LINK BL-W1210M v2.0 umożliwia atakującym dostęp do terminala root bez uwierzytelnienia.

Niebezpieczna deserializacja w niektórych procesach IPS Managera umożliwia nieautoryzowanym zdalnym atakującym wykonanie dowolnego kodu oraz uzyskanie dostępu do podatnego Menedżera IPS Trellix.

Niektóre modele routerów ASUS mają podatność na nieautoryzowane przesyłanie firmware'u. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do wykonywania dowolnych poleceń systemowych na urządzeniu.

Wtyczka LatePoint Plugin dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku sprawdzenia uprawnień w funkcji 'start_or_use_session_for_customer' we wszystkich wersjach do 4.9.9 włącznie. Umożliwia to nieautoryzowanym atakującym przeglądanie szafek innych klientów oraz zmianę haseł użytkowników LatePoint.

Wtyczka Where I Was, Where I Will Be dla WordPressa jest podatna na zdalne dołączanie plików w wersji <= 1.1.1 poprzez parametr WIW_HEADER w pliku /system/include/include_user.php. Umożliwia to nieautoryzowanym atakującym dołączenie i wykonanie dowolnych plików hostowanych na zewnętrznych serwerach.

Wtyczka Canto dla WordPressa jest podatna na zdalne dołączanie plików we wszystkich wersjach do 3.0.8 włącznie, poprzez parametr abspath. Umożliwia to nieautoryzowanym atakującym dołączenie zdalnych plików na serwerze, co prowadzi do wykonania kodu.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu. Ta podatność może być wykorzystana w połączeniu z innymi podatnościami i jest trudna do samodzielnego wykonania.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu poprzez nadpisanie istniejących plików Pythona zawierających kod wykonywalny. Ta podatność może być wykorzystana w połączeniu z innymi podatnościami i jest trudna do samodzielnego wykonania.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu. Dotyczy to określonych produktów, modeli i wersji, które można znaleźć w podanym odnośniku.

Niektóre modele routerów ASUS mają podatność na obejście uwierzytelniania, co pozwala nieautoryzowanym zdalnym atakującym na zalogowanie się do urządzenia.

Drukarki Toshiba umożliwiają przesyłanie plików za pomocą interfejsu webowego dla administratorów. Atakujący może zdalnie skompromitować dowolną drukarkę Toshiba i nadpisać niebezpieczne pliki.

Drukarki Toshiba umożliwiają przesyłanie plików przez interfejs webowy bez uwierzytelnienia, co pozwala atakującemu na nadpisanie niebezpiecznych plików. Dodatkowo, drukarki te są podatne na lokalne eskalacje uprawnień, co umożliwia zdalne przejęcie kontroli nad urządzeniem.