CVE Vulnerability Catalog

W podatności CVE-2023-25714 występuje brak autoryzacji w systemie Fullworks Quick Paypal Payments, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Quick Paypal Payments od n/a do 5.7.25.

W Ebook Store firmy Shopfiles Ltd występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji Ebook Store od n/a do 5.775.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanym użytkownikom z dostępem do sieci na wykonywanie zdalnych poleceń. Może to prowadzić do poważnych szkód w dostępności, a także zagrożeń dla integralności i poufności danych.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanemu użytkownikowi z dostępem do sieci na tworzenie obiektów połączeń, co może prowadzić do wykonania dowolnych plików EXE. Problem ten został naprawiony w kilku aktualizacjach i łatkach.

Wtyczka Gallery dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 1.3 włącznie, poprzez deserializację niezaufanego wejścia z parametru wd_gallery_$id. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie obiektu PHP.

Wtyczka Beautiful taxonomy filters dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'selects[0][term]' we wszystkich wersjach do i włącznie z 2.4.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka FileOrganizer – Manage WordPress and Website Files dla WordPress jest podatna na lokalne włączenie plików JavaScript we wszystkich wersjach do 1.1.4 włącznie, poprzez parametr 'default_lang'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej włączenie i wykonanie dowolnych plików JavaScript na serwerze.

NVIDIA UFM Enterprise, UFM Appliance i UFM CyberAI zawierają podatność, która pozwala atakującemu na spowodowanie problemu z nieprawidłową autoryzacją poprzez wysłanie źle sformułowanego żądania przez interfejs zarządzania Ethernet. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

W urządzeniu Ubiquiti U7-Pro w wersji 7.0.35 odkryto podatność na twardo zakodowane hasło w pliku /etc/shadow, co umożliwia atakującym logowanie się jako root. Producent kwestionuje tę informację, twierdząc, że urządzenie wymaga ustawienia nowego hasła podczas instalacji.

W wersji Python 3.12.0 i nowszych metoda asyncio._SelectorSocketTransport.writelines() nie wstrzymuje pisania i nie sygnalizuje protokołowi, aby opróżnił bufor, gdy osiągnie on 'wysoki poziom wody'. Może to prowadzić do wyczerpania pamięci, ponieważ protokoły nie opróżniają okresowo bufora zapisu.

The ARForms WordPress plugin contains a path traversal vulnerability, allowing an attacker to read files outside the application's root directory. The issue affects versions before 7.0.2.

Podatność CVE-2024-54209 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPFactory Awesome Shortcodes, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.7.2 włącznie.

Podatność CVE-2024-54208 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bloku Block Controller. Problem ten dotyczy wersji Block Controller od n/a do 1.4.3 włącznie.

W podatności CVE-2024-54205 występuje problem Cross-Site Request Forgery (CSRF) w Paloma Widget postman-widget, który umożliwia ataki CSRF. Dotyczy to wersji Paloma Widget od n/a do 1.14 włącznie.

Podatność CVE-2024-53824 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce All Bootstrap Blocks w wersjach od n/a do 1.3.19. Może to umożliwić atakującym wczytanie złośliwego kodu z lokalnych plików.

Podatność CVE-2024-53821 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Genetech Pie Register Premium, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Pie Register Premium przed 3.8.3.3.

W podatności CVE-2024-53817 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Product Labels For Woocommerce w wersjach od n/a do 1.5.8.

W systemie rezerwacji DOTonPAPER Pinpoint Booking System występuje podatność na SQL Injection, która umożliwia przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji systemu od n/a do 2.9.9.5.1.

Podatność CVE-2024-53812 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP GeoNames, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.8 włącznie.

W podatności CVE-2024-53808 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Basix NEX-Forms. Problem ten dotyczy wersji NEX-Forms od n/a do 8.7.8 włącznie.