Katalog podatności CVE

Wtyczka WP OnlineSupport, Essential Plugin Audio Player with Playlist Ultimate w wersjach do 1.2.2 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.

Wtyczka QualityUnit Post Affiliate Pro w wersjach do 1.25.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Wtyczka SuiteDash Direct Login w wersjach do 1.7.6 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Wtyczka Elastic Email Sender w wersjach do 1.2.6 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Zidentyfikowano podatność w wersjach MXsecurity przed v1.0.1, która może prowadzić do zanieczyszczenia bazy danych sqlite oraz interfejsu nsm-web. Atakujący bez uwierzytelnienia może zarejestrować lub dodać urządzenia za pomocą aplikacji nsm-web.

Wtyczka Font Awesome 4 Menus dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode'y 'fa' i 'fa-stack' w wersjach do 4.7.0 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników.

Wykryto podatność w PlayTube 3.0.1, klasyfikowaną jako problematyczną. Problem dotyczy nieznanego przetwarzania komponentu Redirect Handler, co prowadzi do ujawnienia informacji.

W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy funkcji addComment w pliku ?r=weibo/comment/addcomment. Manipulacja argumentem touid prowadzi do wstrzyknięcia SQL.

W systemie zarządzania Xintian Smart Table w wersji 5.6.9 odkryto krytyczną podatność, która dotyczy nieznanej części pliku /SysManage/AddUpdateRole.aspx. Manipulacja argumentem txtRoleName prowadzi do wstrzykiwania SQL.

Wykryto krytyczną podatność w urządzeniu D-Link DAR-8000-10 do wersji 20230819, związaną z manipulacją argumentem w pliku /log/decodmail.php, co prowadzi do wstrzyknięcia poleceń systemowych.

W systemie TOTVS RM 12.1 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację argumentem 'd' w komponencie Portal. Atak może być przeprowadzony zdalnie.

W XWiki Platform istnieje możliwość wykonania kodu Velocity bez posiadania uprawnień skryptowych poprzez stworzenie XClass z właściwością typu 'TextArea' i typem zawartości 'VelocityCode' lub 'VelocityWiki'. W obu przypadkach kod jest wykonywany niezależnie od praw autora właściwości, co może prowadzić do nieautoryzowanego dostępu do danych i API.

W wersji 0.95 programu Catdoc odkryto podatność polegającą na dereferencji wskaźnika NULL w komponencie xls2csv w pliku src/fileutil.c.

Wykryto krytyczną podatność w Infosoftbd Clcknshop 1.0.0, która dotyczy nieznanego przetwarzania pliku /collection/all w komponencie GET Parameter Handler. Manipulacja argumentem tag prowadzi do wstrzyknięcia SQL.

Wielokrotne podatności typu cross-site scripting (XSS) w systemie zarządzania inwentarzem w wersji 1.0 umożliwiają atakującym wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrach Nazwa, Adres i Firma w sekcji Dodaj nowego członka.

W repozytorium GitHub gpac/gpac przed wersją 2.3-DEV występuje przepełnienie lub owinięcie liczb całkowitych.

W repozytorium GitHub gpac/gpac przed wersją 2.3-DEV występuje podatność na odczyt poza granicami bufora.

W repozytorium GitHub gpac/gpac przed wersją 2.3-DEV występuje błąd porównania liczb zmiennoprzecinkowych z użyciem nieprawidłowego operatora.

W podatności SQL Injection w Chamilo LMS w wersjach od 1.11 do 1.11.20, zdalny atakujący z uprawnieniami może uzyskać dostęp do wrażliwych informacji poprzez funkcje importu sesji.

Wielokrotne podatności typu cross-site scripting (XSS) w systemie zarządzania inwentarzem w wersji 1.0 umożliwiają atakującym wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametrów Nazwa, Adres i Firma w sekcji Dodaj klienta.