CVE Vulnerability Catalog

Podatność CVE-2024-31114 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Shortcode Addons, wersje od n/a do 3.2.5. Umożliwia to atakującym przesyłanie złośliwych plików na serwer.

Wtyczka Integrate Google Drive dla WordPressa jest podatna na nieautoryzowany dostęp do danych, ich modyfikację oraz utratę danych z powodu braku weryfikacji uprawnień w wielu funkcjach AJAX we wszystkich wersjach do 1.3.8 włącznie. Umożliwia to uwierzytelnionym atakującym modyfikację ustawień wtyczki oraz pełny dostęp do odczytu/zapisu/usuwania plików na Google Drive powiązanym z wtyczką.

W podatności CVE-2024-29667 zidentyfikowano lukę typu SQL Injection w systemie CMSV6 wersje 7.31.0.2 do 7.31.0.3 firmy Tongtianxing Technology Co., Ltd. Umożliwia ona zdalnemu atakującemu eskalację uprawnień oraz uzyskanie poufnych informacji poprzez parametr ids.

Wersja 1.1.2 serwera przyspieszania transmisji na żywo Huashi Private Cloud CDN hgateway-sixport zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent manager/ipping.php.

A vulnerability in aliyundrive-webdav version 2.3.3 and earlier allows a remote attacker to execute arbitrary code via a crafted payload to the sid parameter in the action_query_qrcode component.

W Stilog Visual Planning 8 odkryto podatność na obejście uwierzytelniania. Umożliwia ona nieautoryzowanemu atakującemu przeprowadzenie ataku brute-force na kody PIN resetowania hasła użytkowników administracyjnych.

W Stilog Visual Planning 8 odkryto podatność na obejście uwierzytelniania, która pozwala nieautoryzowanemu atakującemu na uzyskanie tokena API administracyjnego.

W podatności CVE-2024-30502 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w WP Travel Engine. Problem ten dotyczy wersji WP Travel Engine od n/a do 5.7.9.

Podatność CVE-2024-30510 dotyczy systemu rezerwacji salonów, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach systemu od n/a do 9.5.

Podatność CVE-2024-30500 dotyczy frameworka CubeWP – All-in-One Dynamic Content, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 1.1.12.

W podatności CVE-2024-30498 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w formularzach CRM Perks. Problem ten dotyczy wersji CRM Perks Forms od n/a do 1.1.4.

W podatności CVE-2024-30490 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Metagauss ProfileGrid. Problem dotyczy wersji ProfileGrid od n/a do 5.7.8.

CVE-2023-6191 describes an improper neutralization of special elements used in SQL commands, allowing SQL Injection in Egehan Security WebPDKS.

Wtyczka MasterStudy LMS dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do 3.3.0 włącznie, poprzez parametr 'modal'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Wtyczka MasterStudy LMS dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.3.1 włącznie. Problem wynika z niewystarczających kontroli walidacji w funkcji _register_user(), co pozwala nieautoryzowanym atakującym na rejestrację użytkownika z uprawnieniami administratora.

Thales Imperva SecureSphere WAF w wersji 14.7.0.40 pozwala zdalnym atakującym na obejście reguł WAF za pomocą spreparowanego żądania POST. Jest to inna podatność niż CVE-2021-45468.

An issue in Mblog Blog system v.3.5.0 allows an attacker to execute arbitrary code via a crafted file uploaded to the theme management feature.

CVE-2023-6437 describes an improper neutralization of special elements used in OS commands, allowing authenticated users to perform OS command injection on TP-Link EX20v AX1800, Archer C5v AC1200, TD-W9970, TD-W9970v3, and VX220-G2u and VN020-G2u devices.

Podatność CVE-2024-2890 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Tumult Hype Animations, obejmującej wersje od n/a do 1.9.12. Umożliwia to atakującym przesyłanie złośliwych plików, co może prowadzić do poważnych konsekwencji bezpieczeństwa.

Podatność CVE-2024-29100 dotyczy silnika AI Meow: ChatGPT Chatbot, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 2.1.4.