CVE Vulnerability Catalog

W module Text Commander firmy Cybrosys Techno Solutions w wersjach 16.0 do 16.0.1 występuje podatność na atak typu SQL injection. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez parametr data w pliku models/ir_model.py:IrModel::chech_model.

W module ZI PT Solusi Usaha Mudah Analytic Data Query (izi_data) w wersjach od 11.0 do 17.x przed 17.0.3 występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez zapytania do funkcji IZITools::query_check, IZITools::query_fetch lub IZITools::query_execute.

W module PostgreSQL Query Deluxe (query_deluxe) w wersjach 17.x przed 17.0.0.4 występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez parametr zapytania w models/querydeluxe.py:QueryDeluxe::get_result_from_query.

The Name Service Cache Daemon (nscd) has a memory corruption flaw that can occur when the NSS callback does not store all strings in the provided buffer. This issue was introduced in glibc 2.15 when the cache was added to nscd.

The Name Service Cache Daemon (nscd) may terminate due to a memory allocation failure, leading to denial of service for clients. This issue was introduced in glibc 2.15 when the cache was added to nscd.

In nscd, a stack-based buffer overflow may occur when the fixed size cache is exhausted by client requests. A subsequent client request for netgroup data can lead to this flaw.

W podatności CVE-2024-34412 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Parcel Panel w wersjach od n/a do 3.8.1.

W podatności CVE-2024-34386 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Auto Affiliate Links. Problem dotyczy wersji wtyczki od n/a do 6.4.3.1.

W LeadConnector występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 1.7.

Podatność CVE-2024-34369 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie powiadomień Webpushr. Problem ten występuje w wersjach Webpushr od n/a do 4.35.0.

Podatność typu Cross-Site Request Forgery (CSRF) w Popup Box Team Popup box umożliwia wykonanie ataku Cross-Site Scripting (XSS). Problem ten dotyczy wersji Popup box od n/a do 4.1.2.

W Academy LMS występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 1.9.16.

Podatność CVE-2024-34388 dotyczy ujawnienia wrażliwych informacji osobom nieuprawnionym w systemie Scribit GDPR Compliance. Problem ten dotyczy wersji od n/a do 1.2.5.

W podatności CVE-2024-32807 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co pozwala na atak typu Path Traversal w wtyczce Brevo Sendinblue dla WooCommerce. Problem dotyczy wersji od n/a do 4.0.17.

W systemie bibliotecznym korzystającym z PHP/MySQLi w wersji źródłowej 1.0 występuje problem, który umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą zmiennej _FAILE w komponencie student_edit_photo.php.

W frameworku Litestar i Starlite, przed wersjami 2.8.3, 2.7.2 i 2.6.4, odkryto podatność typu Local File Inclusion (LFI) w komponencie obsługi statycznych plików. Umożliwia ona atakującym wykorzystanie błędów w przechodzeniu ścieżek, co prowadzi do nieautoryzowanego dostępu do wrażliwych plików poza wyznaczonymi katalogami.

go-ethereum (geth) to implementacja warstwy wykonawczej protokołu Ethereum w języku golang. Przed wersją 1.13.15, podatny węzeł mógł być zmuszony do zużywania bardzo dużych ilości pamięci podczas obsługi specjalnie przygotowanych wiadomości p2p wysyłanych z węzła atakującego.

Oprogramowanie układowe serii NPort 5100A w wersji v1.6 i wcześniejszych jest podatne na lukę XSS w serwerze WWW. Luka ta wynika z nieprawidłowego neutralizowania danych wejściowych kontrolowanych przez użytkownika przed umieszczeniem ich w wyjściu.

Wersje Section Camera V2.5.5.3116-S50-SMA-B20160811 i wcześniejsze umożliwiają nieautoryzowaną zmianę kont i haseł administratorów oraz użytkowników.

Podatność CVE-2023-49675 dotyczy nieautoryzowanego lokalnego atakującego, który może nakłonić użytkownika do otwarcia uszkodzonych plików projektów, co prowadzi do wykonania dowolnego kodu lub awarii systemu z powodu luki związanej z zapisem poza dozwolonym zakresem.