Katalog podatności CVE

W podatności CVE-2024-33546 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AA-Team WZone. Problem dotyczy wersji WZone od n/a do 14.0.10.

W podatności CVE-2024-33544 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AA-Team WZone. Problem dotyczy wersji WZone od n/a do 14.0.10.

W podatności CVE-2024-33559 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w motywie XStore od 8theme. Problem dotyczy wersji XStore od n/a do 9.3.5.

W podatności CVE-2024-33551 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w rdzeniu XStore 8theme. Problem ten dotyczy wersji XStore Core od n/a do 5.3.5.

FS-EZViewer (Web) od E-WEBInformationCo. ujawnia wrażliwe informacje w usłudze. Zdalny atakujący może uzyskać ścieżkę do pliku konfiguracyjnego bazy danych poprzez kod źródłowy strony bez logowania.

W jądrze Linux wykryto podatność use-after-free w podsystemie SCSI core. Problem występuje, gdy funkcje .exit_cmd_priv są wywoływane po zwolnieniu zasobów powiązanych z hostem SCSI, co może prowadzić do dostępu do już zwolnionej pamięci. Poprawka polega na oczekiwaniu w scsi_remove_host() na zwolnienie zestawu tagów przed wywołaniem tych funkcji.

Wtyczka Timetable and Event Schedule autorstwa MotoPress dla WordPressa jest podatna na atak typu SQL Injection poprzez atrybut 'events' w skrócie 'mp-timetable' we wszystkich wersjach do 2.4.11 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W komponentach DeviceIoControl w ASUS Fan_Xpert przed wersją 10013 odkryto problem, który pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowane żądania IOCTL.

Danswer, asystent AI połączony z dokumentami, aplikacjami i ludźmi w firmie, jest podatny na nieautoryzowany dostęp do tokenów botów Slack. Osoba z dostępem do sieci może ukraść tokeny botów Slack i je ustawić, co prowadzi do pełnego przejęcia bota Slack klienta.

W platformie analizy danych Panalog firmy Beijing Panabit Network Software Co., Ltd w wersji 20240323 i wcześniejszych występuje problem, który umożliwia atakującym wykonanie dowolnego kodu za pośrednictwem komponentu exportpdf.php.

Router Tenda N300 F3 zawiera podatność umożliwiającą użytkownikom ominięcie zamierzonej polityki bezpieczeństwa i tworzenie słabych haseł.

Wtyczka Product Addons & Fields dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji ppom_upload_file we wszystkich wersjach do 32.0.18 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W systemie S.I.L. 388 firmy Setor Informatica odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hprinter. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.

W systemie Setor Informatica Sistema Inteligente para Laboratorios (S.I.L.) 388 odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hmsg. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.

W Zammad przed wersją 6.3.0 odkryto problem: Zammad Upload Cache używa niebezpiecznych, częściowo przewidywalnych identyfikatorów FormID do identyfikacji treści. Atakujący może próbować je odgadnąć (brute force), aby przesłać złośliwe treści do wersji roboczych artykułów, do których nie ma dostępu.

changedetection.io to otwartoźródłowa usługa monitorowania zmian na stronach internetowych, która zawiera podatność typu Server Side Template Injection (SSTI) w Jinja2. Umożliwia to zdalne wykonywanie poleceń na serwerze, co pozwala atakującym na uruchamianie dowolnych poleceń systemowych bez ograniczeń.

Podatność umożliwia nieautoryzowane przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Problem dotyczy wersji UvDesk Community od 1.0.0 do 1.1.3.

W podatności CVE-2024-31266 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce AlgolPlus Advanced Order Export dla WooCommerce, co umożliwia wstrzykiwanie kodu. Problem dotyczy wersji wtyczki od n/a do 3.4.4.

W podatności Cross-Site Request Forgery (CSRF) wtyczki 大侠WP DX-Watermark, która dotyczy wersji od n/a do 1.0.4, atakujący może wykonać nieautoryzowane działania w imieniu użytkownika.

W podatności CVE-2024-22144 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w oprogramowaniu Eli Scheetz Anti-Malware Security i Brute-Force Firewall. Problem dotyczy wersji od n/a do 4.21.96.