CVE Vulnerability Catalog

Problem z zanieczyszczeniem prototypu w Blackprint @blackprint/engine w wersji 0.9.0 umożliwia atakującemu wykonanie dowolnego kodu za pomocą funkcji _utils.setDeepProperty w pliku engine.min.js.

A vulnerability has been identified in the Linux kernel regarding the improper linking of new fs rules into the tree. This issue can lead to a situation where a rule with a refcount of 2 is not properly linked, resulting in a system crash when the flow group is deleted.

Urządzenia Westermo EDW-100 do 2024-05-03 pozwalają nieautoryzowanym użytkownikom na pobranie pliku konfiguracyjnego zawierającego hasło w postaci niezaszyfrowanej. Jest to konwerter szeregowy na Ethernet, który nie powinien być umieszczany na krawędzi sieci.

Urządzenia Westermo EDW-100 do 2024-05-03 mają ukryte konto użytkownika root z twardo zakodowanym hasłem, którego nie można zmienić. Jest to konwerter szeregowy na Ethernet, który nie powinien być umieszczany na krawędzi sieci.

W pakiecie mintupload do wersji 4.2.0 dla Linux Mint występuje problem z niewłaściwym przetwarzaniem nazwy usługi, co prowadzi do możliwości wstrzyknięcia poleceń za pomocą metaznaków powłoki w funkcjach check_connection, drop_data_received_cb oraz Service.remove. Użytkownik może zmodyfikować nazwę usługi w pliku ~/.linuxmint/mintUpload/services/service.

Kiteworks Totemomail w wersjach 7.x i 8.x przed 8.3.0 umożliwia atak typu directory traversal w przypadku operacji odczytu i usuwania plików oraz operacji zapisu. Problem występuje w kontekście niezautoryzowanego dostępu do zasobów przez /responsiveUI/EnvelopeOpenServlet.

Wtyczka Contact Form od Fluent Forms dla Quiz, Survey i Drag & Drop WP Form Builder w WordPressie jest podatna na eskalację uprawnień z powodu braku weryfikacji uprawnień w punkcie końcowym REST API /wp-json/fluentform/v1/managers we wszystkich wersjach do 5.1.16 włącznie. Umożliwia to nieautoryzowanym atakującym nadawanie uprawnień zarządzania użytkownikom Fluent Form.

W projekcie berriai/litellm występuje podatność na zdalne wykonanie kodu (RCE) spowodowana niewłaściwą kontrolą generowania kodu przy użyciu funkcji `eval` w metodzie `litellm.get_secret()`. Problem występuje, gdy serwer korzysta z Google KMS i nieprzyjazne dane są przekazywane do funkcji `eval` bez jakiejkolwiek sanitizacji.

A vulnerability has been identified in the Linux kernel related to improper string termination in iwl_fw_ini_debug_info_tlv, which may lead to unexpected behavior.

An arbitrary file upload vulnerability in the \modstudent\controller.php component of Pisay Online E-Learning System using PHP/MySQL v1.0 allows attackers to execute arbitrary code via uploading a crafted file.

Podatność CVE-2024-32809 dotyczy ActiveDEMAND firmy JumpDEMAND Inc. i polega na nieograniczonym przesyłaniu plików o niebezpiecznych typach, co umożliwia wykorzystanie złośliwych plików. Problem ten dotyczy wersji ActiveDEMAND od n/a do 0.2.41.

Podatność CVE-2024-33644 dotyczy niewłaściwej kontroli generowania kodu w bibliotece WPCustomify Customify Site, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji biblioteki Customify Site od n/a do 0.0.9.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w aplikacji UkrSolution Barcode Scanner z modułem zarządzania zapasami i zamówieniami umożliwia eskalację uprawnień. Problem dotyczy wersji aplikacji od n/a do 1.5.3.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w wtyczce Astoundify Simple Registration dla WooCommerce umożliwia eskalację uprawnień. Problem dotyczy wersji Simple Registration dla WooCommerce od n/a do 1.5.6.

W podatności CVE-2024-31290 wtyczki CodeRevolution Demo My WordPress występuje niewłaściwe zarządzanie uprawnieniami, co umożliwia eskalację uprawnień. Problem dotyczy wersji Demo My WordPress od n/a do 1.0.9.1.

W podatności CVE-2024-31231 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w Sizam Design Rehub. Problem ten dotyczy wersji Rehub od n/a do 19.6.1.

Podatność CVE-2024-27954 w WP Automatic Automatic umożliwia atak typu Path Traversal oraz Server Side Request Forgery. Problem dotyczy wersji od n/a do 3.92.0.

Podatność związana z nieprawidłowym przypisaniem uprawnień w systemie zarządzania nauczaniem Masteriyo - LMS. Problem dotyczy wersji od n/a do 1.7.2 włącznie.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w WebWizards SalesKing umożliwia eskalację uprawnień. Problem ten dotyczy wersji SalesKing od n/a do 1.6.15.

Podatność w Glowlogix WP Frontend Profile związana z niewłaściwym zarządzaniem uprawnieniami umożliwia eskalację uprawnień. Problem dotyczy wersji WP Frontend Profile od n/a do 1.3.1.