CVE Vulnerability Catalog

W pliku plugins/HookSystem.cpp w Hyprland do wersji 0.39.1 (przed 28c8561) występuje warunek wyścigu, który pozwala lokalnemu atakującemu na wykonanie dowolnego kodu asemblerowego poprzez zapis do przewidywalnego pliku tymczasowego.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Regenerate post permalink autorstwa Sandora Kovacsa umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji od n/a do 1.0.3.

W podatności CVE-2024-33571 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie VOD Infomaniak w wersjach od n/a do 1.5.6.

Podatność CVE-2024-33562 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w 8theme XStore, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji XStore od n/a do 9.3.5.

W podatności CVE-2024-33559 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w motywie XStore od 8theme. Problem dotyczy wersji XStore od n/a do 9.3.5.

Podatność CVE-2024-33554 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w 8theme XStore Core, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji XStore Core od n/a do 5.3.5.

W podatności CVE-2024-33551 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w rdzeniu XStore 8theme. Problem ten dotyczy wersji XStore Core od n/a do 5.3.5.

W podatności CVE-2024-33548 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w WZone, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WZone od n/a do 14.0.10.

W bibliotece KDE libksieve przed wersją 23.03.80, plik kmanagesieve/session.cpp umieszcza hasło w postaci niezaszyfrowanej w logach serwera, ponieważ zmienna przechowująca nazwę użytkownika przypadkowo otrzymuje wartość hasła.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Toast Plugins Sticky Anything umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji Sticky Anything od n/a do 2.1.5.

Podatność CVE-2024-33645 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Easy Set Favicon, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.1.

W podatności CVE-2024-33633 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Piotnet Addons For Elementor Pro. Problem ten dotyczy wersji od n/a do 7.1.17.

N-Reporter i N-Cloud, produkty N-Partner, mają podatność na wstrzykiwanie poleceń systemowych. Zdalni atakujący z normalnymi uprawnieniami użytkownika mogą wykonywać dowolne polecenia systemowe, manipulując danymi wejściowymi na określonej stronie.

FS-EZViewer (Web) od E-WEBInformationCo. ujawnia wrażliwe informacje w usłudze. Zdalny atakujący może uzyskać ścieżkę do pliku konfiguracyjnego bazy danych poprzez kod źródłowy strony bez logowania.

A use-after-free vulnerability was found in the Linux kernel's SCSI core subsystem. The issue occurs when .exit_cmd_priv implementations are called after resources associated with the SCSI host have been freed, leading to access to freed memory. The fix ensures scsi_remove_host() waits for the tag set to be freed before invoking these functions.

In the Linux kernel, the SLUB subsystem fixed flush_cpu_slab() and __free_slab() invocations in task context. The issue occurred when flush_all_cpu_locked() called from task context could cause a dependency issue when a workqueue with WQ_MEM_RECLAIM bit set flushed the global workqueue.

In the Linux kernel, the SCSI qla2xxx driver has a memory leak in __qlt_24xx_handle_abts(). A previous fix added an early return when a command was not found but failed to free the allocated memory for the management command.

In the Linux kernel, the gma500 graphics driver (drm/gma500) has a bug where a destroyed mutex object is used during psb_gem_unpin(). This triggers a WARN_ON(lock->magic != lock) warning and may lead to system instability. The fix moves the drm_gem_object_release() call after the unpin operation.

Wtyczka Timetable and Event Schedule autorstwa MotoPress dla WordPressa jest podatna na atak typu SQL Injection poprzez atrybut 'events' w skrócie 'mp-timetable' we wszystkich wersjach do 2.4.11 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Nieprawidłowe klasy poleceń S2 Nonce Get mogą być wysyłane w celu awarii bramy. Wymagana jest twarda resetacja, aby przywrócić bramę do działania.