CVE Vulnerability Catalog

Wtyczka CoDesigner WooCommerce Builder dla Elementor w wersjach do 4.4.1 jest podatna na wstrzyknięcie obiektów PHP poprzez deserializację niezaufanych danych z ciasteczka recently_viewed_products. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

Wtyczka Dokan Pro dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'code' we wszystkich wersjach do i włącznie z 3.10.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W podatności CVE-2024-36840 zidentyfikowano lukę typu SQL Injection w systemie zarządzania Boelter Blue w wersji 1.3. Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji poprzez parametry id w plikach news_details.php i location_details.php oraz parametr section w pliku services.php.

An incorrect authorization vulnerability in Apache Submarine Server Core allows an attacker to bypass authentication by sending specially crafted REST requests. The project is retired and no patch will be released.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na nieautoryzowane aktualizacje opcji z powodu braku sprawdzeń autoryzacji w wywołaniach REST API we wszystkich wersjach do i włącznie z 0.1.0.38. Umożliwia to nieautoryzowanym atakującym połączenie z API InstaWP, edytowanie dowolnych opcji witryny oraz tworzenie kont administratorów.

Wersja 9.5 biblioteki parisneo/lollms jest podatna na ataki Local File Inclusion (LFI) z powodu niewystarczającej sanitizacji ścieżek. Funkcja `sanitize_path_from_endpoint` nieprawidłowo sanitizuje ścieżki w stylu Windows, co umożliwia atakującym przeprowadzanie ataków typu directory traversal na systemach Windows.

Nieprawidłowa walidacja głębokich linków w aplikacji McAfee Security: Antivirus VPN dla systemu Android przed wersją 8.3.0 może umożliwić atakującemu uruchomienie dowolnego adresu URL w aplikacji.

A remote code execution vulnerability in Microsoft Message Queuing (MSMQ) allows an attacker to execute arbitrary code remotely in the system context. The flaw exists in the message queuing mechanism and can be exploited without authentication.

Wtyczka Blog2Social: Social Media Auto Post & Scheduler dla WordPress jest podatna na atak SQL Injection poprzez parametr 'b2sSortPostType' we wszystkich wersjach do i włącznie z 7.4.1. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W wersji awkblog v0.0.1 (hash komitu: 7b761b192d0e0dc3eef0f30630e00ece01c8d552) i wcześniejszych występuje podatność na wstrzykiwanie poleceń systemowych. Zdalny, nieautoryzowany atakujący może wysłać specjalnie przygotowane żądanie HTTP, co może skutkować wykonaniem dowolnego polecenia systemowego z uprawnieniami produktu na maszynie, na której jest uruchomiony.

W podatności CVE-2024-34762 zidentyfikowano problem związany z niewłaściwym ograniczeniem ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w wtyczce Advanced Custom Fields PRO. Dotyczy to wersji przed 6.2.10.

Wtyczka Quiz And Survey Master dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'question_id' we wszystkich wersjach do 9.0.1 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Roundcube Webmail w wersjach przed 1.5.7 oraz 1.6.x przed 1.6.7 na systemie Windows umożliwia wstrzykiwanie poleceń poprzez im_convert_path i im_identify_path. Problem ten występuje z powodu niekompletnej naprawy dla CVE-2020-12641.

Kontrolery drzwi iSTAR działające na oprogramowaniu układowym przed wersją 6.6.B nie obsługują uwierzytelnionej komunikacji z ICU, co może umożliwić atakującemu uzyskanie nieautoryzowanego dostępu.

A Cross-Site Scripting (XSS) vulnerability exists in mintplex-labs/anything-llm, affecting both the desktop application version 1.2.0 and the latest version of the web application. This vulnerability allows for the execution of arbitrary JavaScript code by embedding content from external websites.

Wtyczka Startklar Elementor Addons dla WordPressa jest podatna na atak typu Directory Traversal we wszystkich wersjach do i włącznie z 1.7.15 za pomocą parametru 'dropzone_hash'. Umożliwia to nieautoryzowanym atakującym kopiowanie zawartości dowolnych plików na serwerze oraz usuwanie dowolnych katalogów, w tym katalogu głównego WordPressa.

Wtyczka Email Subscribers by Icegram Express dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'hash' we wszystkich wersjach do i włącznie z 5.7.20. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce Userpro od DeluxeThemes. Problem dotyczy wersji Userpro od n/a do 5.1.8.

W podatności CVE-2024-33560 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w motywie 8theme XStore. Problem ten dotyczy wersji XStore od n/a do 9.3.8.

Podatność CVE-2024-25600 dotyczy niewłaściwej kontroli generowania kodu w Bricks Builder od Codeer Limited, co umożliwia wstrzykiwanie kodu. Problem ten występuje w wersjach od n/a do 1.9.6.