CVE Vulnerability Catalog

W podatności CVE-2024-52473 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w odtwarzaczu HTML5 Lyrics Karaoke Player w wersjach od n/a do 2.4. Problem ten umożliwia ataki refleksyjne XSS.

W podatności CVE-2024-52472 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w widżecie Weather Atlas. Problem ten dotyczy wersji widżetu Weather Atlas od n/a do 3.0.3 włącznie.

Podatność CVE-2024-52471 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w rozszerzeniach dla Elementora, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji rozszerzeń dla Elementora od n/a do 2.0.37.

Podatność CVE-2024-52470 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Dynamic URL SEO w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka Clone dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 2.4.6, poprzez deserializację nieufnych danych wejściowych w funkcji 'recursive_unserialized_replace'. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

W podatności CVE-2024-52451 występuje atak typu Cross-Site Request Forgery (CSRF) w aplikacji Post Ideas, który umożliwia wykonanie ataku SQL Injection. Problem ten dotyczy wersji Post Ideas od n/a do 2 włącznie.

W podatności CVE-2024-52450 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji nBlocks od n/a do 1.0.2.

W podatności CVE-2024-52449 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w Bootscraperze Navneil Naicer. Problem ten dotyczy wersji Bootscrapera od n/a do 2.1.0.

W podatności CVE-2024-52448 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w wtyczce Ultimate Classified Listings w wersjach od n/a do 1.7. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych plików na serwerze.

Podatność typu Path Traversal w aplikacji Contact Page With Google Map umożliwia atakującym dostęp do nieautoryzowanych plików na serwerze. Problem ten dotyczy wersji od n/a do 1.6.1.

W podatności CVE-2024-52446 występuje problem Cross-Site Request Forgery (CSRF) w systemie Buying Buddy IDX CRM, który umożliwia wstrzykiwanie obiektów. Dotyczy to wersji od n/a do 1.2.8 włącznie.

Podatność na deserializację niezaufanych danych w ModelTheme QRMenu Restaurant QR Menu Lite (wersje od n/a do 1.0.4) umożliwia wstrzyknięcie obiektów. Problem ten dotyczy aplikacji QRMenu Restaurant QR Menu Lite.

Podatność typu 'Path Traversal' w wtyczce Opal Woo Custom Product Variation pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem dotyczy wersji wtyczki od n/a do 1.1.3.

W podatności CVE-2024-52438 występuje brak uwierzytelnienia dla krytycznej funkcji w de:branding, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji de:branding od n/a do 1.0.2 włącznie.

W systemie Banner autorstwa Saula Moralesa Pacheco występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji systemu Banner od n/a do 1.0.0 włącznie.

W firmware Rakuten Turbo 5G w wersji V1.3.18 i wcześniejszych występuje problem z niewłaściwym neutralizowaniem specjalnych elementów używanych w poleceniach systemu operacyjnego ('OS Command Injection'). W przypadku wykorzystania tej podatności, zdalny uwierzytelniony atakujący może wykonać dowolne polecenie systemowe.

In the Linux kernel, the dvbdev media driver has a risk of out-of-bounds memory access. Lack of explicit boundary checks in dvb_register_device() and dvb_device_open() can lead to memory issues, especially when dynamic minors are not used.

In the Linux kernel's s5p-jpeg driver (for hardware JPEG encoder), missing checks could lead to buffer overflows when the 'word' value was less than 2. The fix adds extra checks to prevent this.

A vulnerability has been identified in the Linux kernel's iwlwifi module, concerning response handling in the iwl_mvm_send_recovery_cmd() function. The issue involves a lack of response packet size validation and the failure to free the response buffer.