CVE Vulnerability Catalog

Lack of sanitization during the installation process in Dolibarr ERP CRM up to version 19.0.0 allows an attacker with adjacent network access to execute arbitrary code via a specially crafted input.

Podatność CVE-2024-27191 dotyczy niewłaściwej kontroli generowania kodu w Slivery Extender, co pozwala na zdalne włączenie kodu. Problem ten dotyczy wersji Slivery Extender od n/a do 1.0.2.

W SonicDICOM Media Viewer w wersji 2.3.2 i wcześniejszych występuje problem z niekontrolowanym elementem ścieżki wyszukiwania, co może prowadzić do niebezpiecznego ładowania dynamicznych bibliotek linkowanych. W efekcie może zostać wykonany dowolny kod z uprawnieniami działającej aplikacji.

W Toastie Studio Woocommerce Social Media Share Buttons występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Woocommerce Social Media Share Buttons od n/a do 1.3.0.

Podatność typu Cross-Site Request Forgery (CSRF) w Adam Bowen Tax Rate Upload umożliwia wystąpienie odzwierciedlonego ataku XSS. Problem dotyczy wersji Tax Rate Upload od n/a do 2.4.5.

W wersji 6.5.0 klienta webowego INSTINCT UI występuje podatność na otwarte przekierowanie oparte na DOM w parametrze returnUrl. Umożliwia to atakującym przekierowywanie użytkowników na złośliwe strony za pomocą spreparowanego URL.

VMware SD-WAN Orchestrator zawiera podatność na otwarte przekierowanie. Z powodu niewłaściwego zarządzania ścieżkami, złośliwy aktor może przekierować ofiarę na domenę kontrolowaną przez atakującego.

VMware SD-WAN Edge zawiera podatność na wstrzykiwanie poleceń bez uwierzytelnienia, co może prowadzić do zdalnego wykonania kodu. Złośliwy użytkownik z lokalnym dostępem do interfejsu użytkownika routera Edge podczas aktywacji może przeprowadzić atak wstrzykiwania poleceń, co może skutkować pełną kontrolą nad routerem.

Piccolo Admin to interfejs administracyjny/system zarządzania treścią dla Pythona, który pozwala na przesyłanie plików multimedialnych. Domyślnie dozwolony jest typ pliku SVG, co umożliwia atakującemu przesłanie złośliwego pliku SVG, który po załadowaniu może dać nieautoryzowany dostęp do strony administracyjnej.

W niektórych rejestratorach wideo Hikvision (NVR) występuje podatność na wstrzykiwanie poleceń. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami administratora wykonywanie dowolnych poleceń.

In the Linux kernel, a vulnerability in the libceph library can lead to incorrect data interpretation during a short read from the socket. The read_partial_sparse_msg_data() function may invoke the OSD client state machine, leading to bogus data. The fix reuses cursor->total_resid to determine whether to bail and wait for more data.

W uvdesk/community-skeleton występuje niewłaściwe zarządzanie uprawnieniami, co może prowadzić do nieautoryzowanego dostępu do funkcji lub danych. Problem ten może być wykorzystany przez atakujących do uzyskania wyższych uprawnień niż przewidziano.

W Kanban Boards dla WordPressa występuje podatność na Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 2.5.21.

Podatność CVE-2024-31097 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce SEO Title Tag w wersjach od n/a do 3.5.9.

Podatność CVE-2024-31092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Comic Easel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Comic Easel od n/a do 1.15.

Podatność CVE-2024-31091 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w edytorze masowym pól niestandardowych SparkWeb Interactive, Inc., co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji edytora od n/a do 1.9.1.

Podatność CVE-2024-31090 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Hacklog Down As PDF w wersjach od n/a do 2.3.6.

W podatności CVE-2024-31087 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module zarządzania stronami pageMash. Problem ten dotyczy wersji pageMash od n/a do 1.3.0.

W bibliotece Post-Plugin występuje podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji biblioteki od n/a do 2.6.2.1.

Podatność CVE-2024-31084 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Pulsar Web Design Weekly Class Schedule, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji Weekly Class Schedule od n/a do 3.19.