Katalog podatności CVE

Hasło klinicysty oraz numer seryjny są wbudowane w wentylator w postaci niezaszyfrowanej. To może umożliwić atakującemu uzyskanie hasła z wentylatora i wykorzystanie go do nieautoryzowanego dostępu do urządzenia z uprawnieniami klinicysty.

Mikrokontroler wentylatora nie posiada ochrony pamięci. Atakujący może podłączyć się do wewnętrznego interfejsu JTAG i odczytać lub zapisać dane w pamięci flash za pomocą ogólnodostępnego narzędzia do debugowania, co może zakłócić działanie urządzenia i/lub spowodować nieautoryzowany dostęp do informacji.

Wentylator oraz komputer serwisowy nie posiadają wystarczających możliwości rejestrowania zdarzeń, co uniemożliwia wykrywanie złośliwej aktywności oraz późniejsze badania kryminalistyczne. Atakujący z dostępem do wentylatora lub komputera serwisowego może wprowadzać nieautoryzowane zmiany w ustawieniach wentylatora bez wykrycia.

Narzędzia oprogramowania używane przez personel serwisowy do testowania i kalibracji wentylatora nie obsługują uwierzytelniania użytkowników. Atakujący z dostępem do komputera serwisowego, na którym zainstalowane są te narzędzia, może uzyskać informacje diagnostyczne lub manipulować ustawieniami wentylatora oraz oprogramowaniem wbudowanym bez konieczności uwierzytelnienia.

Błąd konfiguracji w mechanizmie uwierzytelniania odcisków palców w Binance: BTC, Crypto i NFTS w wersji 2.85.4 umożliwia atakującym ominięcie uwierzytelnienia podczas dodawania nowego odcisku palca.

Niewłaściwa ochrona danych na interfejsie szeregowym wentylatora może umożliwić atakującemu wysyłanie i odbieranie wiadomości, co prowadzi do nieautoryzowanego ujawnienia informacji oraz niezamierzonych wpływów na ustawienia i wydajność urządzenia.

Brak limitu nieudanych prób logowania dla hasła klinicysty oraz hasła numeru seryjnego klinicysty umożliwia atakującym przeprowadzenie ataku typu brute-force. Taki atak może prowadzić do nieautoryzowanego dostępu do wentylatora oraz zmian w ustawieniach urządzenia.

Podatność CVE-2024-52370 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w Hive Support, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Hive Support od n/a do 1.1.1 włącznie.

Podatność CVE-2024-52369 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w KBucket, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji KBucket od n/a do 4.2.2.

Podatność związana z deserializacją niezaufanych danych w wtyczce Podlove Podcast Publisher dla WordPressa. Problem ten dotyczy wersji wtyczki od n/a do 4.1.15.

Podatność CVE-2024-52384 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w Sage AI: Chatbots, OpenAI GPT-4 Bulk Articles, Dalle-3 Image Generation. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

W podatności CVE-2024-52382 występuje brak autoryzacji w narzędziu Matix Popup Builder od medmatech, co umożliwia eskalację uprawnień. Problem dotyczy wersji Matix Popup Builder od n/a do 1.0.0 włącznie.

Podatność CVE-2024-52380 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Picsmize, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Picsmize od n/a do 1.0.0 włącznie.

Podatność CVE-2024-52379 dotyczy wtyczki kineticPay dla WooCommerce, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-52377 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji bdthemes Instant Image Generator. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2024-52376 dotyczy wtyczki Boat Rental dla WordPressa, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.

W podatności CVE-2024-52375 występuje nieograniczony upload plików o niebezpiecznych typach w Datasets Manager od Arttia Creative, co może prowadzić do poważnych zagrożeń bezpieczeństwa. Problem dotyczy wersji od n/a do 1.5 włącznie.

Podatność CVE-2024-52374 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Do That Task, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Do That Task od n/a do 1.5.5 włącznie.

Podatność CVE-2024-52373 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w Devexhub Gallery, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Devexhub Gallery od n/a do 2.0.1 włącznie.

Podatność CVE-2024-52372 dotyczy Easy CSV Importer BETA, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.