CVE Vulnerability Catalog

W systemie Vypor Attack API w wersji 1.0 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą parametru GET użytkownika.

W podatności CVE-2024-7078 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w oprogramowaniu Semtek Sempos. Problem ten dotyczy wersji oprogramowania do 31 lipca 2024 roku.

W podatności CVE-2024-7076 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w oprogramowaniu Semtek Sempos. Problem ten dotyczy wersji oprogramowania dostępnych do 31 lipca 2024 roku.

W projekcie Pi Camera, wersja 1.0, występuje podatność na zdalne wykonanie kodu (RCE) spowodowana niewłaściwym oczyszczaniem danych wejściowych przekazywanych do parametru GET 'position' w skrypcie tilt.php. Atakujący może wykorzystać tę lukę, wysyłając spreparowane dane, co pozwala na wykonanie dowolnych poleceń na serwerze z uprawnieniami użytkownika serwera WWW.

W SAMPAŞ Holding AKOS (AkosCepVatandasService) oraz AKOS (TahsilatService) występuje luka związana z brakiem autoryzacji, która pozwala na zbieranie danych dostarczonych przez użytkowników. Problem dotyczy wersji AKOS (AkosCepVatandasService) przed V2.0 oraz AKOS (TahsilatService) przed V1.0.7.

D-Link DAP-2310 w wersji oprogramowania sprzętowego 1.16RC028 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przepełnienie bufora na stosie w binarnym pliku ATP, który obsługuje żądania HTTP GET PHP dla serwera Apache HTTP. Podatność ta dotyczy tylko produktów, które nie są już wspierane przez producenta.

ASIS (znany również jako Aplikasi Sistem Sekolah korzystający z CodeIgniter 3) w wersjach od 3.0.0 do 3.2.0 umożliwia wstrzyknięcie SQL w parametrze username w pliku index.php, co prowadzi do ominięcia uwierzytelnienia.

W podatności CVE-2024-6919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w systemie NACPremium firmy NAC Telecommunication Systems Inc. Problem ten dotyczy wersji NACPremium do 8 stycznia 2024 roku.

An issue was discovered in libexpat before version 2.6.3, which can lead to an integer overflow in the nextScaffoldPart function in xmlparse.c on 32-bit platforms.

An issue was discovered in libexpat before version 2.6.3 related to integer overflow in the dtdCopy function in xmlparse.c. This issue occurs on 32-bit platforms where UINT_MAX equals SIZE_MAX.

One Identity Safeguard for Privileged Passwords w wersjach przed 7.5.2 umożliwia nieautoryzowany dostęp z powodu problemu z ciasteczkami. Problem ten dotyczy jedynie instalacji na wirtualnych urządzeniach (VMware lub HyperV).

A reflected cross-site scripting (XSS) vulnerability was found in the viewname parameter on the index page of vTiger CRM 7.4.0. It allows an attacker to execute arbitrary JavaScript code in the victim's browser by injecting a crafted payload.

A reflected cross-site scripting (XSS) vulnerability exists in the 'parent' parameter of the index page in vTiger CRM 7.4.0. Attackers can execute arbitrary JavaScript code in the victim's browser by injecting a crafted payload.

A reflected XSS vulnerability was found in vTiger CRM 7.4.0 in the 'tag' parameter on the index page. An attacker can inject malicious JavaScript that executes in the victim's browser.

W podatności CVE-2024-43955 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości manipulacji plikami w aplikacji Themeum Droip. Problem ten dotyczy wersji Droip od n/a do 1.1.1.

W podatności CVE-2024-39622 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w CridioStudio ListingPro. Problem dotyczy wersji ListingPro od n/a do 2.9.4 włącznie.

Wtyczka ListingPro w CridioStudio zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji ListingPro od n/a do 2.9.4 włącznie.

W portalu zarządzania Menulux Information Technologies występuje luka związana z brakiem uwierzytelnienia i autoryzacji dla krytycznych funkcji, co pozwala na zbieranie danych dostarczonych przez użytkowników.

DCME-320 w wersji 7.4.12.60 firmy Beijing Digital China Cloud Technology Co., Ltd. zawiera podatność na wykonanie polecenia, która może być wykorzystana do uzyskania uprawnień administratora urządzenia za pomocą funkcji getVar w pliku code/function/system/tool/ping.php.

Podatność CVE-2024-7071 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji Brain Low-Code przed wersją 2.1.0.