CVE Vulnerability Catalog

Wtyczka PDF Invoices and Packing Slips For WooCommerce dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 1.3.7 poprzez deserializację nieufnych danych wejściowych za pomocą parametru order_id. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyżej, wstrzyknięcie obiektu PHP.

W EaseUS MobiMover w wersji 6.0.5 Build 21620 występuje problem z niebezpiecznymi uprawnieniami, który pozwala atakującym na uzyskanie podwyższonych uprawnień poprzez uruchomienie spreparowanego pliku wykonywalnego z katalogu instalacyjnego aplikacji.

Podatność na przesyłanie plików w platformie zarządzania Byzro Network Smart s42 w wersji S42 umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez komponent useratte/userattestation.php.

Wtyczka Post Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) dla WordPress jest podatna na nieautoryzowane usuwanie plików multimedialnych z powodu braku sprawdzenia uprawnień w funkcji handle_deleted_media we wszystkich wersjach do i włącznie z 2.8.7. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych plików multimedialnych.

Wtyczka Post Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) dla WordPressa jest podatna na nieautoryzowane przesyłanie mediów z powodu braku sprawdzenia uprawnień w funkcji buddyforms_upload_handle_dropped_media we wszystkich wersjach do 2.8.7 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie plików multimedialnych.

Wtyczka Restaurant Reservations dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 1.9 włącznie, poprzez atrybut nd_rst_layout shortcode'u nd_rst_search. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyżej do włączenia i wykonania dowolnych plików PHP na serwerze.

Podatność CVE-2023-51395 dotyczy urządzeń końcowych Z-Wave firmy Silicon Labs. Może ona umożliwić nieautoryzowanemu atakującemu w zasięgu Z-Wave przepełnienie bufora stosu, co prowadzi do wykonania dowolnego kodu.

A vulnerability in Cute Http File Server v.3.1 allows a remote attacker to escalate privileges via the password verification component. The issue stems from improper implementation of the authentication mechanism.

Cypress Solutions CTM-200 version 2.7.1.5600 and below was found to have an OS command injection vulnerability via the cli_text parameter. An attacker can remotely execute arbitrary commands on the device.

In versions prior to 4.18.2 of the pgx driver for PostgreSQL, there is a SQL injection vulnerability when specific conditions regarding the use of the simple protocol and the placement of placeholders are met.

Podatność CVE-2024-25102 występuje w oprogramowaniu AppSamvid z powodu użycia słabszego algorytmu kryptograficznego SHA1 w komponencie logowania użytkownika. Atakujący z lokalnymi uprawnieniami administracyjnymi może wykorzystać tę podatność do uzyskania hasła do AppSamvid na docelowym systemie.

Podatność CVE-2024-1224 występuje w USB Pratirodh z powodu użycia słabszego algorytmu kryptograficznego SHA1 w komponencie logowania użytkownika. Lokalny atakujący z uprawnieniami administracyjnymi może wykorzystać tę podatność do uzyskania hasła USB Pratirodh na docelowym systemie.

In the Linux kernel, the JFS filesystem has a use-after-free vulnerability in jfs_evict_inode. When diMount(ipimap) fails, the released ipimap object may be accessed in diFreeSpecial(). Therefore, sbi->ipimap should not be initialized as ipimap when diMount fails.

An unauthenticated SQL injection vulnerability was discovered in Sourcecodester Lost and Found Information System version 1.0. An attacker can exploit the "id" parameter in a GET request to "?page=items/view&id=*" without authentication.

The protojson.Unmarshal function can enter an infinite loop when unmarshaling certain forms of invalid JSON. This can occur when unmarshaling into a message containing a google.protobuf.Any value, or when the UnmarshalOptions.DiscardUnknown option is set.

Funkcja ParseAddressList niewłaściwie obsługuje komentarze (tekst w nawiasach) w nazwach wyświetlanych. Może to prowadzić do niezgodności z parserami adresów, co skutkuje różnymi decyzjami dotyczącymi zaufania podejmowanymi przez programy korzystające z różnych parserów.

Wtyczka Auto Refresh Single Page dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 1.1, poprzez deserializację niezaufanego wejścia z opcji meta post arsp_options. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie współtwórcy i wyżej, wstrzyknięcie obiektu PHP.

Wtyczka Vimeography: Vimeo Video Gallery dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.3.2 włącznie, poprzez deserializację niezaufanych danych wejściowych w funkcji duplicate_gallery. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej jako współautor wstrzyknięcie obiektu PHP.