CVE Vulnerability Catalog

Podatność w interfejsie zarządzania opartym na sieci web w oprogramowaniu Cisco Unified Industrial Wireless dla punktów dostępowych Cisco Ultra-Reliable Wireless Backhaul (URWB) może umożliwić nieautoryzowanemu, zdalnemu atakującemu przeprowadzenie ataków typu injection komend z uprawnieniami roota na systemie operacyjnym. Problem wynika z niewłaściwej walidacji danych wejściowych w interfejsie zarządzania.

Wtyczka mFolio Lite dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku weryfikacji uprawnień we wszystkich wersjach do 1.2.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej wstrzykiwanie dowolnych skryptów webowych oraz przesyłanie plików EXE na serwer.

Wersja 2.6.1 serwera Linux Heimdall zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany skrypt przesłany do funkcji dodawania nowej aplikacji.

Problem w integracji Lens Visual z Power BI w wersji 4.0.0.3 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pośrednictwem komponentu przetwarzania języka naturalnego.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Sukces w wykorzystaniu tej podatności umożliwia wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Skuteczne wykorzystanie tej podatności pozwala na wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

W HAPI FHIR przed wersją 6.4.0 występuje podatność typu XML External Entity (XXE), która pozwala atakującym na dostęp do wrażliwych informacji lub wykonanie dowolnego kodu poprzez dostarczenie spreparowanego żądania zawierającego złośliwe encje XML.

Podatność CVE-2024-50531 dotyczy RSVPMaker for Toastmasters, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten występuje w wersjach od n/a do 6.2.4.

Podatność CVE-2024-50530 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Stars SMTP Mailer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Stars SMTP Mailer od n/a do 2.2.1 włącznie.

Podatność CVE-2024-50529 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji rudrainn Training – Courses, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Training – Courses od n/a do 2.0.1 włącznie.

Podatność CVE-2024-50527 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Stacks Mobile App Builder, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3.

Podatność CVE-2024-50526 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-50525 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Helloprint, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Helloprint od n/a do 2.0.4 włącznie.

Podatność CVE-2024-50523 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w formularzu kontaktowym All Post Contact Form, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.8.2 włącznie.

W podatności CVE-2024-10035 w systemie CoslatV3 firmy BG-TEK Informatics Security Technologies występuje problem z niewłaściwą kontrolą generowania kodu, co prowadzi do możliwości wstrzyknięcia poleceń oraz eskalacji uprawnień. Dotyczy to wersji do 3.1069.

W podatności CVE-2024-51661 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń (OS Command Injection) w aplikacji Media Library Assistant w wersjach od n/a do 3.19 włącznie.

A SQL injection vulnerability was found in Phpgurukul Beauty Parlour Management System v1.1 in admin/index.php via the username parameter. An attacker can send a malicious SQL query, leading to unauthorized database access.

Phpgurukul Teachers Record Management System v2.1 is vulnerable to SQL Injection via the 'tid' parameter in admin/queries.php. An attacker can exploit this flaw to execute arbitrary SQL queries on the database.

Phpgurukul Teachers Record Management System v2.1 is vulnerable to SQL injection in add-teacher.php via the mobile number or email parameter. An attacker can manipulate these parameters to execute unauthorized database queries.

Projectworlds Online Admission System v1 is vulnerable to SQL Injection in index.php via the 'a_id' parameter. An attacker can manipulate this parameter to execute unauthorized database queries.