CVE Vulnerability Catalog

W podatności CVE-2024-51637 występuje problem Cross-Site Request Forgery (CSRF) w module Admin SMS Alert, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji od n/a do 1.1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Z.com byGMO GMO Social Connection umożliwia atak typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji GMO Social Connection od n/a do 1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Garmur While Loading umożliwia wykonanie ataku Stored XSS. Problem ten dotyczy wersji While Loading od n/a do 3.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Webriti Custom Login umożliwia wykonanie ataku typu Reflected XSS. Problem ten dotyczy wersji Webriti Custom Login od n/a do 0.3 włącznie.

W podatności CVE-2024-51633 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Simple Page Specific Sidebars, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.14.1 włącznie.

W podatności CVE-2024-51632 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Sam Hoe SH Slideshow, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji SH Slideshow od n/a do 4.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Sticky Social Bar, która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji wtyczki od n/a do 2.0 włącznie.

W podatności CVE-2024-50534 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji World Prayer Time, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji aplikacji od n/a do 2.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Domain Sharding autorstwa Davida Garcii umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Domain Sharding od n/a do 1.2.1 włącznie.

W podatności CVE-2024-50532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Events Manager Pro – extended w wersjach od n/a do 0.1.

W podatności CVE-2024-50522 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WeChat Subscribers Lite w wersjach od n/a do 1.6.6.

Podatność CVE-2024-50519 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Jigoshop – Store Exporter w wersjach od n/a do 1.5.8. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność w pakiecie Incoming Goods Suite umożliwia użytkownikowi z nieuprzywilejowanym dostępem do systemu (np. lokalnie lub przez SSH) eskalację uprawnień do poziomu administracyjnego z powodu użycia obrazów kontenerów Docker działających z uprawnieniami roota. Wykorzystanie tej błędnej konfiguracji pozwala atakującemu na uzyskanie administracyjnej kontroli nad całym systemem.

W procedurze odczytu plików X_B i SAT w eDrawings, dostępnej w wersjach SOLIDWORKS 2024 i 2025, występują podatności związane z przepełnieniem bufora w pamięci oraz niezainicjowaną zmienną. Te podatności mogą umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku X_B lub SAT.

Wtyczka Classified Listing – Classified ads & Business Directory dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z błędnej konfiguracji funkcji 'rtcl_import_settings' we wszystkich wersjach do 3.1.15.1 włącznie.

Podatność związana z niewłaściwą walidacją określonego typu wejścia w produktach Mitsubishi Electric Corporation MELSEC iQ-F Series FX5-ENET w wersjach 1.100 do 1.200 oraz FX5-ENET/IP w wersjach 1.100 do 1.104 pozwala zdalnemu atakującemu na spowodowanie stanu Denial of Service w komunikacji Ethernet poprzez wysyłanie specjalnie przygotowanych pakietów SLMP.

Wersje pakietu @eslint/plugin-kit przed 0.2.3 są podatne na atak typu Regular Expression Denial of Service (ReDoS) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może zwiększyć zużycie CPU i spowodować awarię programu, wykorzystując tę podatność.

In the Linux kernel's btrfs filesystem, when updating a delayed ref, the ref list is not reinitialized after deletion, which can lead to invalid memory access and system crash.

Harden-Runner od StepSecurity, używany do filtrowania ruchu sieciowego i zabezpieczeń w czasie rzeczywistym dla runnerów hostowanych na GitHubie oraz samodzielnych, zawiera wiele słabości związanych z wstrzykiwaniem poleceń w wersjach przed v2.10.2. Wersja 2.10.2 zawiera poprawkę eliminującą te podatności.

W podatności CVE-2024-52418 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gameplan od n/a do 1.5.10 włącznie.