CVE Vulnerability Catalog

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. W dotkniętych wersjach FileServerService (proxy multimedialne) nie wykrywało pętli proxy, co pozwalało zdalnym atakującym na przeprowadzenie rozproszonego ataku typu denial-of-service poprzez złośliwie skonstruowaną notatkę.

W NI DAQExpress występuje podatność na deserializację niezaufanych danych, która może prowadzić do zdalnego wykonania kodu. Aby skutecznie wykorzystać tę podatność, atakujący musi skłonić użytkownika do otwarcia specjalnie przygotowanego pliku projektu. Podatność dotyczy wersji DAQExpress 5.1 i wcześniejszych.

Podatność CVE-2024-56057 dotyczy wtyczki wplms_plugin w systemie WPLMS, która pozwala na nieograniczone przesyłanie plików o niebezpiecznym typie, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji WPLMS od n/a do < 1.9.9.5.2.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność typu Path Traversal, która umożliwia atakującym dostęp do nieautoryzowanych ścieżek w systemie plików. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.2.

Podatność CVE-2024-56054 dotyczy wtyczki wplms_plugin w systemie WPLMS, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.3.

Podatność CVE-2024-56052 w wtyczce wplms_plugin dla WPLMS umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji WPLMS od n/a do < 1.9.9.5.2.

W podatności CVE-2024-56051 występuje niewłaściwa kontrola generacji kodu ('wstrzykiwanie kodu') w wtyczce wplms_plugin dla VibeThemes WPLMS, co pozwala na wstrzykiwanie kodu. Problem dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.

Wtyczka wplms_plugin w VibeThemes WPLMS ma podatność na nieograniczone przesyłanie plików z niebezpiecznym typem, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji WPLMS od n/a do < 1.9.9.5.3.

Wtyczka w VibeThemes WPLMS zawiera podatność typu Path Traversal, która pozwala na nieautoryzowany dostęp do plików systemowych. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.2.

Wtyczka WPLMS od VibeThemes zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji WPLMS od n/a do 1.9.9.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność na wstrzyknięcie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.3.

W podatności CVE-2024-54383 występuje nieprawidłowe przypisanie uprawnień w wtyczce wpweb WooCommerce PDF Vouchers, co umożliwia eskalację uprawnień. Problem dotyczy wersji WooCommerce PDF Vouchers od n/a do poniżej 4.9.9.

W Dotstore Advance Menu Manager występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 3.1.1 włącznie. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji menedżera menu.

Keyfactor Command przed wersją 12.5.0 ma nieprawidłową kontrolę dostępu, co skutkuje nadmiernymi uprawnieniami tokenów dostępu. Wersje, które zawierają poprawki to 11.5.1.1, 11.5.2.1, 11.5.3.1, 11.5.4.5, 11.5.6.1, 11.6.0, 12.2.0.1, 12.3.0.1, 12.4.0.1, 12.5.0 oraz 24.4.0.

Podatność typu 'Zanieczyszczenie prototypu' w farinspace Partners umożliwia nieprawidłową modyfikację atrybutów prototypu obiektu, co prowadzi do wstrzyknięcia obiektów. Problem dotyczy wersji Partners od n/a do 0.2.0 włącznie.

Podatność CVE-2024-56058 dotyczy deserializacji niezaufanych danych w VRPConnector, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji VRPConnector od n/a do 2.0.1 włącznie.

Podatność CVE-2024-56016 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Image Mapper w wersjach od n/a do 0.2.5.3. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2024-56010 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w urządzeniu Device Detector. Problem ten dotyczy wersji od n/a do 4.2.0.