CVE Vulnerability Catalog

Nieprawidłowe ograniczenia bufora w niektórych firmware Intel(R) System Security Report i System Resources Defense mogą pozwolić uprzywilejowanemu użytkownikowi na potencjalne uzyskanie podwyższonych uprawnień poprzez lokalny dostęp.

Nieprawidłowa walidacja danych wejściowych w niektórych firmware'ach Intel(R) System Security Report i System Resources Defense może pozwolić uprzywilejowanemu użytkownikowi na potencjalne uzyskanie podwyższonych uprawnień poprzez lokalny dostęp.

W niektórych wersjach oprogramowania układowego Intel(R) System Security Report i System Resources Defense występuje warunkowe wyścigu, które może umożliwić uprzywilejowanemu użytkownikowi potencjalne podniesienie uprawnień poprzez lokalny dostęp.

Nieprawidłowe ograniczenia bufora w niektórych firmware Intel(R) System Security Report i System Resources Defense mogą pozwolić uprzywilejowanemu użytkownikowi na potencjalne uzyskanie podwyższonych uprawnień poprzez lokalny dostęp.

Nieprawidłowa walidacja danych wejściowych w oprogramowaniu UEFI dla niektórych procesorów Intel(R) może umożliwić uprzywilejowanemu użytkownikowi potencjalne zwiększenie uprawnień poprzez lokalny dostęp.

Nieprawidłowa walidacja danych wejściowych w oprogramowaniu UEFI dla niektórych procesorów Intel(R) może umożliwić uprzywilejowanemu użytkownikowi potencjalne zwiększenie uprawnień poprzez lokalny dostęp.

W oprogramowaniu układowym BMC dla płyt serwerowych Intel(R) S2600WF, S2600ST, S2600BP przed wersją 02.01.0017 oraz M50CYP i D50TNP przed wersją R01.01.0009 występuje przepełnienie bufora oparte na stercie. Może to umożliwić uprzywilejowanemu użytkownikowi eskalację uprawnień poprzez lokalny dostęp.

Nieprawidłowa kontrola dostępu w oprogramowaniu BMC dla płyt serwerowych Intel(R) S2600WF, S2600ST, S2600BP przed wersją 02.01.0017 oraz M50CYP i D50TNP przed wersją R01.01.0009 może umożliwić uwierzytelnionemu użytkownikowi eskalację uprawnień poprzez lokalny dostęp.

W systemie Lenovo Vantage na urządzeniach SMB zidentyfikowano lukę w zakresie niewłaściwego przydzielania uprawnień, która może umożliwić lokalnemu atakującemu podniesienie uprawnień w systemie. Dotyczy to tylko wersji Vantage zainstalowanej na określonych modelach laptopów Lenovo.

parse-duraton to oprogramowanie umożliwiające konwersję czasu w formacie czytelnym dla ludzi na milisekundy. Wersje przed 2.1.3 są podatne na opóźnienia w pętli zdarzeń z powodu operacji obciążającej CPU, co może prowadzić do opóźnień od 0,5 ms do około 50 ms na operację oraz do awarii aplikacji Node.js z powodu przekroczenia pamięci przy użyciu ciągu o rozmiarze około 10 MB z znakami unicode. Wersja 2.1.3 zawiera poprawkę.

CrowdStrike zidentyfikował błąd w logice walidacji w sensorze Falcon dla systemu Linux, kontrolerze przyjęć Kubernetes oraz sensorze kontenerowym, który może prowadzić do nieprawidłowego przetwarzania walidacji certyfikatu serwera w rutynie połączenia TLS. To może umożliwić atakującemu przeprowadzenie ataku typu man-in-the-middle (MiTM).

Podatność w go-crypto-winnative, backendzie kryptograficznym dla systemu Windows, polega na tym, że wywołania do `cng.TLS1PRF` nie zwalniają uchwytu klucza, co prowadzi do niewielkiego wycieku pamięci. Problem został naprawiony w odpowiednich wersjach pakietu.

A command injection vulnerability was discovered in the Emacs text editor. A remote, unauthenticated attacker can exploit it to execute arbitrary shell commands on a vulnerable system. The attack is triggered by tricking users into visiting a specially crafted website or an HTTP URL with a redirect.

In Progress Telerik UI for WinUI versions prior to 2025 Q1 (3.0.0), a command injection attack is possible through improper neutralization of hyperlink elements.

In the GFS2 filesystem in the Linux kernel, the address space of an inode is not truncated when flipping the GFS2_DIF_JDATA flag. This can lead to mixing pages using buffer heads and iomap_folio_state, which is not allowed.

In the Linux kernel, the v3d graphics driver failed to set the job pointer to NULL after job completion. This caused a false warning when unloading the driver, indicating the job was still active.

A vulnerability has been identified in the Linux kernel related to improper CPU state management during hotplug operations. The issue arises when a CPU transitions through various states, leading to incorrect assumptions about hrtick activity and the cpu_base.online state.

Wtyczka Small Package Quotes – Purolator Edition dla WordPressa jest podatna na atak typu SQL Injection poprzez parametry 'edit_id' i 'dropship_edit_id' we wszystkich wersjach do 3.6.4 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonych przez użytkownika parametrów oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka ShipEngine Shipping Quotes dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'edit_id' we wszystkich wersjach do i włącznie z 1.0.7. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Apus Framework dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji 'import_page_options' we wszystkich wersjach do i włącznie z 2.4. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.