CVE Vulnerability Catalog

Wtyczka Superfly Responsive Menu dla WordPressa jest podatna na atak typu Cross-Site Request Forgery (CSRF) w wersjach do 5.0.29 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji ajax_handle_delete_icons(), co umożliwia nieautoryzowanym atakującym usuwanie dowolnych plików poprzez sfałszowane żądanie.

Podatność CVE-2024-39647 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Kofi Mokome Message Filter dla Contact Form 7. Problem ten dotyczy wersji wtyczki od n/a do 1.6.1.1 włącznie.

Podatność typu 'Cross-site Scripting' (XSS) w wtyczce Kunal Custom 404 Pro, która występuje w wersjach od n/a do 3.11.1. Problem polega na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

Podatność CVE-2024-39631 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Contest Gallery. Problem ten występuje w wersjach od n/a do 23.1.2.

Vim before v9.1.0648 has a double-free vulnerability in dialog_changed(). When abandoning a buffer, Vim may ask the user what to do. If the buffer had no name and the user chooses to save, Vim creates a new Untitled file, but setting the buffer name leads to a double-free, possibly causing heap-use-after-free and crash.

Soft Serve to samodzielnie hostowany serwer Git dla wiersza poleceń. Przed wersją 0.7.5, użytkownik, który może dodawać pliki do repozytorium, mógł wykonać dowolny kod poprzez manipulację zmiennymi środowiskowymi i Git.

W podatności CVE-2024-39663 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Fast Total Search. Problem dotyczy wersji od n/a do 1.68.232 włącznie.

Podatność CVE-2024-39656 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Tin Canny Reporting dla LearnDash, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 4.3.0.7.

Podatność CVE-2024-39636 dotyczy deserializacji niezaufanych danych w wtyczce Better Find and Replace w wersjach od n/a do 1.6.1. Może to prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w IdeaBox PowerPack Pro dla Elementor umożliwia eskalację uprawnień. Problem ten dotyczy wersji PowerPack Pro dla Elementor od n/a do 2.10.14.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w wtyczce IdeaBox PowerPack dla Beaver Builder umożliwia eskalację uprawnień. Problem ten dotyczy wersji PowerPack dla Beaver Builder od n/a do 2.33.0.

W podatności CVE-2024-39624 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w CridioStudio ListingPro. Problem dotyczy wersji ListingPro od n/a do 2.9.4 włącznie.

Podatność typu 'Path Traversal' w wtyczce ListingPro dla CridioStudio umożliwia lokalne włączenie plików PHP. Problem dotyczy wersji ListingPro od n/a do 2.9.4 włącznie.

W podatności CVE-2024-39619 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w wtyczce ListingPro dla CridioStudio. Problem dotyczy wersji ListingPro od n/a do 2.9.4 włącznie.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w WebAppick CTX Feed umożliwia eskalację uprawnień. Problem ten dotyczy wersji CTX Feed od n/a do 6.5.6.

Podatność w Revmakx Backup and Staging od WP Time Capsule związana z niewłaściwym zarządzaniem uprawnieniami umożliwia eskalację uprawnień oraz obejście uwierzytelniania. Problem dotyczy wersji od n/a do 1.22.20.

Podatność CVE-2024-38746 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu Path Traversal oraz Server Side Request Forgery w aplikacji MakeStories (dla Google Web Stories). Problem ten występuje w wersjach od n/a do 3.0.3.

Podatność związana z niewłaściwym zarządzaniem uprawnieniami w WPForms, LLC. WPForms User Registration umożliwia eskalację uprawnień. Problem dotyczy WPForms User Registration w wersjach od n/a do 2.1.0.

Możliwe jest spowodowanie awarii lub przekierowania przepływu wykonania procesu serwera ClickHouse z nieautoryzowanego wektora poprzez wysłanie specjalnie skonstruowanego żądania do natywnego interfejsu serwera ClickHouse. Przekierowanie jest ograniczone do dostępnych 256 bajtów pamięci w momencie wykonania.

W wersji cortex v0.42.1 odkryto problem z weryfikacją certyfikatu TLS, który umożliwia atakującym uzyskanie poufnych informacji za pomocą funkcji makeOperatorRequest.