Katalog podatności CVE

Podatność w interfejsie zarządzania opartym na sieci web w oprogramowaniu Cisco Unified Industrial Wireless dla punktów dostępowych Cisco Ultra-Reliable Wireless Backhaul (URWB) może umożliwić nieautoryzowanemu, zdalnemu atakującemu przeprowadzenie ataków typu injection komend z uprawnieniami roota na systemie operacyjnym. Problem wynika z niewłaściwej walidacji danych wejściowych w interfejsie zarządzania.

Wtyczka mFolio Lite dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku weryfikacji uprawnień we wszystkich wersjach do 1.2.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej wstrzykiwanie dowolnych skryptów webowych oraz przesyłanie plików EXE na serwer.

Wersja 2.6.1 serwera Linux Heimdall zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany skrypt przesłany do funkcji dodawania nowej aplikacji.

Problem w integracji Lens Visual z Power BI w wersji 4.0.0.3 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pośrednictwem komponentu przetwarzania języka naturalnego.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Sukces w wykorzystaniu tej podatności umożliwia wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Skuteczne wykorzystanie tej podatności pozwala na wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

W HAPI FHIR przed wersją 6.4.0 występuje podatność typu XML External Entity (XXE), która pozwala atakującym na dostęp do wrażliwych informacji lub wykonanie dowolnego kodu poprzez dostarczenie spreparowanego żądania zawierającego złośliwe encje XML.

Podatność CVE-2024-50531 dotyczy RSVPMaker for Toastmasters, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten występuje w wersjach od n/a do 6.2.4.

Podatność CVE-2024-50530 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Stars SMTP Mailer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Stars SMTP Mailer od n/a do 2.2.1 włącznie.

Podatność CVE-2024-50529 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji rudrainn Training – Courses, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Training – Courses od n/a do 2.0.1 włącznie.

Podatność CVE-2024-50527 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Stacks Mobile App Builder, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3.

Podatność CVE-2024-50526 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-50525 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Helloprint, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Helloprint od n/a do 2.0.4 włącznie.

Podatność CVE-2024-50523 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w formularzu kontaktowym All Post Contact Form, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.8.2 włącznie.

W podatności CVE-2024-10035 w systemie CoslatV3 firmy BG-TEK Informatics Security Technologies występuje problem z niewłaściwą kontrolą generowania kodu, co prowadzi do możliwości wstrzyknięcia poleceń oraz eskalacji uprawnień. Dotyczy to wersji do 3.1069.

W podatności CVE-2024-51661 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń (OS Command Injection) w aplikacji Media Library Assistant w wersjach od n/a do 3.19 włącznie.

W systemie Beauty Parlour Management System v1.1 od Phpgurukul wykryto podatność na wstrzykiwanie SQL w pliku admin/index.php poprzez parametr username. Atakujący może przesłać złośliwe zapytanie SQL, co pozwala na nieautoryzowany dostęp do bazy danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL przez parametr 'tid' w skrypcie admin/queries.php. Atakujący może wykorzystać tę lukę do wykonania dowolnych zapytań SQL na bazie danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL w pliku add-teacher.php poprzez parametry numeru telefonu lub adresu e-mail. Atakujący może manipulować tymi parametrami, aby wykonać nieautoryzowane zapytania do bazy danych.

W systemie rekrutacji online Projectworlds w wersji 1 wykryto podatność na wstrzykiwanie SQL w pliku index.php poprzez parametr 'a_id'. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.