CVE Vulnerability Catalog

W podatności CVE-2024-33544 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AA-Team WZone. Problem dotyczy wersji WZone od n/a do 14.0.10.

W podatności CVE-2024-33559 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w motywie XStore od 8theme. Problem dotyczy wersji XStore od n/a do 9.3.5.

W podatności CVE-2024-33551 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w rdzeniu XStore 8theme. Problem ten dotyczy wersji XStore Core od n/a do 5.3.5.

FS-EZViewer (Web) od E-WEBInformationCo. ujawnia wrażliwe informacje w usłudze. Zdalny atakujący może uzyskać ścieżkę do pliku konfiguracyjnego bazy danych poprzez kod źródłowy strony bez logowania.

A use-after-free vulnerability was found in the Linux kernel's SCSI core subsystem. The issue occurs when .exit_cmd_priv implementations are called after resources associated with the SCSI host have been freed, leading to access to freed memory. The fix ensures scsi_remove_host() waits for the tag set to be freed before invoking these functions.

Wtyczka Timetable and Event Schedule autorstwa MotoPress dla WordPressa jest podatna na atak typu SQL Injection poprzez atrybut 'events' w skrócie 'mp-timetable' we wszystkich wersjach do 2.4.11 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W komponentach DeviceIoControl w ASUS Fan_Xpert przed wersją 10013 odkryto problem, który pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowane żądania IOCTL.

Danswer, asystent AI połączony z dokumentami, aplikacjami i ludźmi w firmie, jest podatny na nieautoryzowany dostęp do tokenów botów Slack. Osoba z dostępem do sieci może ukraść tokeny botów Slack i je ustawić, co prowadzi do pełnego przejęcia bota Slack klienta.

W platformie analizy danych Panalog firmy Beijing Panabit Network Software Co., Ltd w wersji 20240323 i wcześniejszych występuje problem, który umożliwia atakującym wykonanie dowolnego kodu za pośrednictwem komponentu exportpdf.php.

The Tenda N300 F3 router vulnerability allows users to bypass intended security policy and create weak passwords.

Wtyczka Product Addons & Fields dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji ppom_upload_file we wszystkich wersjach do 32.0.18 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W systemie S.I.L. 388 firmy Setor Informatica odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hprinter. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.

W systemie Setor Informatica Sistema Inteligente para Laboratorios (S.I.L.) 388 odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hmsg. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.

An issue was discovered in Zammad before 6.3.0. The Zammad Upload Cache uses insecure, partially guessable FormIDs to identify content. An attacker could try to brute force them to upload malicious content to article drafts they have no access to.

changedetection.io to otwartoźródłowa usługa monitorowania zmian na stronach internetowych, która zawiera podatność typu Server Side Template Injection (SSTI) w Jinja2. Umożliwia to zdalne wykonywanie poleceń na serwerze, co pozwala atakującym na uruchamianie dowolnych poleceń systemowych bez ograniczeń.

Podatność umożliwia nieautoryzowane przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Problem dotyczy wersji UvDesk Community od 1.0.0 do 1.1.3.

W podatności CVE-2024-31266 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce AlgolPlus Advanced Order Export dla WooCommerce, co umożliwia wstrzykiwanie kodu. Problem dotyczy wersji wtyczki od n/a do 3.4.4.

W podatności Cross-Site Request Forgery (CSRF) wtyczki 大侠WP DX-Watermark, która dotyczy wersji od n/a do 1.0.4, atakujący może wykonać nieautoryzowane działania w imieniu użytkownika.

W podatności CVE-2024-22144 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w oprogramowaniu Eli Scheetz Anti-Malware Security i Brute-Force Firewall. Problem dotyczy wersji od n/a do 4.21.96.

Podatność CVE-2023-51484 dotyczy niewłaściwej autoryzacji w wtyczce wp-buy Login as User or Customer (User Switching), co umożliwia eskalację uprawnień. Problem ten dotyczy wersji od n/a do 3.8.