CVE Vulnerability Catalog

Wtyczka JetBackup – WP Backup, Migrate & Restore dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.3.9 włącznie. Problem wynika z braku walidacji nonce w funkcji backup_guard_get_import_backup(), co umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer podatnej witryny za pomocą sfałszowanego żądania.

W repozytorium GitHub phpipam/phpipam przed wersją 1.5.2 występuje podatność na atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

An insecure permissions vulnerability in the ZBT WE1626 router allows attackers to obtain sensitive information via the SPI bus interface connected to the NAND flash memory pinout.

Wtyczka Metform Elementor Contact Form Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola tekstowe w formularzach w wersjach do 3.1.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony, czyli strony z przesyłkami.

An issue in ThingsBoard 3.4.1 allows low-privileged attackers (CUSTOMER_USER) to escalate privileges to administrator level (TENANT_ADMIN or SYS_ADMIN). The attack requires knowledge of the corresponding API parameter (authority: value).

In PHP 8.0.x before 8.0.28, 8.1.x before 8.1.16, and 8.2.x before 8.2.3, the password_verify() function may accept some invalid Blowfish hashes as valid. If such an invalid hash ends up in the password database, it may allow any password for that entry to be considered valid.

A Command Injection vulnerability in the Liman Central Management System due to improper neutralization of special elements affects versions from 1.7.0 before 1.8.3-462.

An arbitrary file deletion vulnerability in Razer Central before version 7.8.0.381 occurs when handling files in the Accounts directory. An attacker can exploit this flaw to delete critical system files.

In MPD before version 0.23.8, used on Automotive Grade Linux and other platforms, the PipeWire output plugin mishandles a Drain call in certain situations involving truncated files. Eventually, there is an assertion failure in libmpdclient because libqtappfw passes in a NULL pointer.

Judging Management System 1.0 was found to have an arbitrary file upload vulnerability via the edit_organizer.php component. An attacker can upload a malicious file, potentially leading to remote code execution.

The mono package before version 6.8.0.105+dfsg-3.3 for Debian allows arbitrary code execution because the application/x-ms-dos-executable MIME type is associated with an un-sandboxed Mono CLR interpreter.

Brak uwierzytelnienia dla krytycznej funkcji w repozytorium GitHub kareadita/kavita przed wersją 0.7.0. To może prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji aplikacji.

Wtyczka WP Coder do WordPressa, umożliwiająca dodawanie niestandardowego kodu HTML, CSS i JS, jest podatna na atak typu SQL Injection opartego na czasie poprzez parametr 'id' w wersjach do 2.5.3 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

A vulnerability in the firmware of the Arris TG2482A router up to version 9.1.103GEM9 allows remote code execution (RCE) via the ping utility feature. An attacker can exploit this flaw to gain control over the device.

Podatność CVE-2023-0882 dotyczy niewłaściwej walidacji danych wejściowych oraz obejścia autoryzacji w aplikacji Kron Tech Single Connect na systemie Windows, co umożliwia nadużycie uprawnień. Problem ten dotyczy wersji Single Connect: 2.16.

Visual Studio contains a Remote Code Execution Vulnerability that could allow an attacker to execute arbitrary code in the context of the logged-in user.

Remote code execution vulnerability in Visual Studio. An attacker could exploit this flaw to execute arbitrary code in the user's context.