CVE Vulnerability Catalog

W podatności CVE-2024-49219 występuje nieprawidłowe przypisanie uprawnień w wtyczce RS-Members, co umożliwia eskalację uprawnień. Problem dotyczy wersji RS-Members od n/a do 1.0.3 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w madiriaashish, dotycząca dodawania rozwijanych ról w rejestracji użytkownika, umożliwia eskalację uprawnień. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

Podatność CVE-2024-47312 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczkach WP Grim Classic Editor oraz Classic Widgets. Problem ten dotyczy wersji Classic Editor i Classic Widgets od n/a do 1.4.1 włącznie.

W podatności CVE-2024-47304 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Fluent Support. Problem ten dotyczy wersji od n/a do 1.8.0 włącznie.

Podatność CVE-2024-43997 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w EasyJobs, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji EasyJobs od n/a do 2.4.14.

PutongOJ to oprogramowanie do oceny online. Przed wersją 2.1.0-beta.1, nieuprzywilejowani użytkownicy mogli eskalować swoje uprawnienia poprzez konstruowanie odpowiednich żądań, co prowadziło do nieautoryzowanego dostępu i możliwości wykonywania operacji na poziomie administratora.

W produktach Altalink, Versalink i WorkCentre występuje podatność umożliwiająca zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Atakujący może wykorzystać tę lukę do uruchomienia dowolnego kodu na urządzeniu.

W podatności CVE-2024-49315 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w aplikacji CodeFlock FREE DOWNLOAD MANAGER w wersjach do 1.0.0. Problem ten umożliwia nieautoryzowany dostęp do plików systemowych.

Podatność typu Cross-Site Request Forgery (CSRF) w widżecie GabbyKhrmon Wsify pozwala na przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy widżetu Wsify w wersjach od n/a do 1.0 włącznie.

Podatność CVE-2024-48032 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Featured Posts with Multiple Custom Groups (FPMCG) w wersjach od n/a do 4.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2024-48023 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w widżecie rezerwacji restauracji rconnect305. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.0 włącznie.

Podatność CVE-2024-48021 dotyczy wtyczki Contact Form 7 – PayPal & Stripe Add-on, która pozwala na wystąpienie ataku typu Cross-site Scripting (XSS) poprzez niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 2.3.

Routery Nokia SR OS umożliwiają dostęp do całego systemu plików za pomocą SFTP lub SCP dla użytkowników skonfigurowanych z 'access console'. Użytkownik z niskimi uprawnieniami może odczytać lub zastąpić plik konfiguracyjny routera oraz inne pliki przechowywane na karcie Compact Flash lub SD bez użycia poleceń CLI.

Podatność CVE-2024-49320 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w encyklopedii Dennis. Problem ten dotyczy wersji Encyklopedii / Słownika / Wiki od n/a do 1.7.60 włącznie.

W podatności CVE-2024-48043 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce ShortPixel Image Optimizer w wersjach od n/a do 5.6.3.

Podatność w Keep Backup Daily pozwala na ujawnienie wrażliwych informacji systemowych osobom nieuprawnionym. Problem dotyczy wersji od n/a do 2.1.3 włącznie.

W oprogramowaniu OpenSight Software FlashFXP w wersji 5.4.0.3970 zidentyfikowano krytyczną podatność. Dotyczy ona nieznanej funkcji w bibliotece libcrypto-1_1.dll pliku FlashFXP.exe, co prowadzi do niekontrolowanej ścieżki wyszukiwania. Atak musi być przeprowadzony lokalnie.

Wtyczka SendPulse Free Web Push dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting we wszystkich wersjach do i włącznie z 1.3.6, z powodu nieprawidłowego użycia funkcji wp_kses_allowed_html. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność w pliku .sdd umożliwia atakującemu odczytanie domyślnych haseł przechowywanych w postaci niezaszyfrowanej w kodzie. Wykorzystując te dane, atakujący może zalogować się do dotkniętych produktów SICK jako 'Uprawniony Klient', jeśli klient nie zmienił domyślnego hasła.

Wtyczka WP Timetics - AI-powered Appointment Booking Calendar and Online Scheduling Plugin dla WordPressa jest podatna na przejęcie konta oraz eskalację uprawnień z powodu niebezpiecznego bezpośredniego odniesienia do obiektów we wszystkich wersjach do 1.0.25 włącznie. Problem wynika z braku walidacji klucza kontrolowanego przez użytkownika w funkcji save().