CVE Vulnerability Catalog

Podatność CVE-2024-32136 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze FAQ BWL Advanced. Problem ten dotyczy wersji od n/a do 2.0.3.

W podatności CVE-2024-32135 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WPZest Disable Comments w wersjach od n/a do 1.51.

W podatności CVE-2024-32134 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na ataki typu SQL Injection w aplikacjach Nasirahmed Forms do Zapier, Integromat, IFTTT, Workato, Automate.Io, elastic.Io, Built.Io, APIANT oraz Webhook. Problem dotyczy wersji od n/a do 1.1.12.

W podatności CVE-2024-32132 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji CBX Bookmark & Favorite w wersjach od n/a do 1.7.20.

W podatności CVE-2024-32127 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Find Duplicates. Problem dotyczy wersji od n/a do 1.4.6.

Podatność CVE-2024-32125 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie BA Book Everything. Problem ten dotyczy wersji od n/a do 1.6.4.

W podatności CVE-2024-32098 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Advanced Page Visit Counter. Problem dotyczy wersji od n/a do 8.0.6.

W podatności CVE-2024-32087 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce ExportFeed.Com Product Feed na platformie WooCommerce dla Google. Problem dotyczy wersji od n/a do 3.5.7.

Wtyczka Sync Post With Other Site w wersjach od n/a do 1.9.1 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atakującym wykonanie nieautoryzowanych żądań w imieniu użytkowników. Problem ten może prowadzić do niezamierzonych działań na stronie internetowej.

W podatności CVE-2024-31093 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji Broken Images, który umożliwia atak Cross-Site Scripting (XSS). Dotyczy to wersji Broken Images od n/a do 0.2.

W podatności CVE-2024-31086 występuje problem z Cross-Site Request Forgery (CSRF) w wtyczce Venugopal, która umożliwia zmianę domyślnego logo logowania, adresu URL i tytułu. Ta luka pozwala na przeprowadzenie ataku Cross-Site Scripting (XSS).

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Social Author Bio autorstwa Nicka Powersa umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 2.4.

W podatności CVE-2024-32149 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce BlueGlass Jobs dla WordPress, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji Jobs for WordPress od n/a do 2.7.5.

W podatności CVE-2024-32145 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce PineWise WP Google Analytics Events, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 2.8.0.

Podatność CVE-2024-32138 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji KaizenCoders Short URL, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Short URL od n/a do 1.6.8.

Podatność CVE-2024-32133 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w EZ Form Calculator, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji EZ Form Calculator od n/a do 2.14.0.3.

Niektóre modele routerów WiFi firmy ASUS mają podatność na wstrzykiwanie poleceń systemowych, co pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń systemowych poprzez wysłanie specjalnie przygotowanego żądania.

Netdata to narzędzie do obserwacji, które w dotkniętych wersjach zawiera narzędzie `ndsudo`, umożliwiające atakującemu uruchamianie dowolnych programów z uprawnieniami roota. Narzędzie to jest pakowane jako wykonywalny plik należący do użytkownika `root` z ustawionym bitem SUID, co pozwala na eskalację uprawnień lokalnych.

W frameworku UI NiceGUI występuje podatność na lokalne włączenie pliku w komponencie NiceUI leaflet. Atakujący mający dostęp do strony NiceUI leaflet może odczytać dowolny plik z systemu plików backendu, do którego ma dostęp serwer webowy.

Wtyczka wn-dusk (Dusk plugin) integruje testowanie przeglądarki Laravel Dusk z Winter CMS. Umożliwia ona dostęp do specjalnych tras, które pozwalają na działanie w środowisku przeglądarki bez konieczności uwierzytelniania, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników.