CVE Vulnerability Catalog

Wady w klasach poleceń Device Reset Locally mogą być wykorzystane do tymczasowego zablokowania usługi dla urządzenia końcowego. W tym czasie żadne ramki wysyłane przez urządzenie końcowe nie będą potwierdzane przez bramę.

Cross Site Scripting vulnerability in Lavalite CMS v.10.1.0 allows attackers to execute arbitrary code and obtain sensitive information via a crafted payload to the URL.

W komponentach DeviceIoControl w ASUS Fan_Xpert przed wersją 10013 odkryto problem, który pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowane żądania IOCTL.

MCUboot to bezpieczny program rozruchowy dla 32-bitowych mikrokontrolerów. Wykorzystuje strukturę TLV (tag-length-value) do reprezentacji metadanych związanych z obrazem, jednak nie rozróżnia, które wpisy TLV powinny być chronione, co umożliwia atakującym dodawanie niechronionych wpisów, które powinny być chronione.

Danswer, asystent AI połączony z dokumentami, aplikacjami i ludźmi w firmie, jest podatny na nieautoryzowany dostęp do tokenów botów Slack. Osoba z dostępem do sieci może ukraść tokeny botów Slack i je ustawić, co prowadzi do pełnego przejęcia bota Slack klienta.

W platformie analizy danych Panalog firmy Beijing Panabit Network Software Co., Ltd w wersji 20240323 i wcześniejszych występuje problem, który umożliwia atakującym wykonanie dowolnego kodu za pośrednictwem komponentu exportpdf.php.

W systemie zarządzania ubezpieczeniami w wersji 1.0.0 i wcześniejszych występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez spreparowane żądanie POST do /admin/core/new_staff.

Incorrect access control in ASUS RT-N12+ B1 and RT-N12 D1 routers allows local attackers to obtain root terminal access via the UART interface.

The Tenda N300 F3 router vulnerability allows users to bypass intended security policy and create weak passwords.

The Asus RT-N12+ B1 router stores user passwords in plaintext, which could allow local attackers to obtain unauthorized access and modify router settings.

The Asus RT-N12+ B1 router stores credentials in cleartext, which could allow local attackers to obtain unauthorized access and modify router settings.

A CSV Injection vulnerability in the Asus RT-N12+ router allows an administrator to inject arbitrary commands or formulas into the client name parameter. When exported to CSV format, the injected code can be executed in another user's session upon opening the file.

Wtyczka Product Addons & Fields dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji ppom_upload_file we wszystkich wersjach do 32.0.18 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP SMTP dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'search' w wersjach od 1.2 do 1.2.6. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Zespół ENVY odkrył lukę, która umożliwia zdalne wykonanie kodu na kamerze. Atakujący może wstrzyknąć złośliwy kod do pakietów żądań HTTP, co pozwala na wykonanie dowolnego kodu.

Wykryto lukę w oprogramowaniu układowym DVR, polegającą na niewłaściwej logice szyfrowania, co umożliwia odszyfrowanie danych. Producent wydał poprawkę, która rozwiązuje ten problem.

Wykryto lukę, która umożliwia zdalne wykonanie kodu na DVR. Atakujący może wstrzykiwać złośliwe nagłówki HTTP do pakietów żądań, co pozwala na wykonanie dowolnego kodu.

Wersje M-Files Server przed 24.4.13592.4 oraz po 23.11 (z wyjątkiem 24.2 LTS) mają podatność na atak typu denial of service, który pozwala nieautoryzowanemu użytkownikowi na zużycie zasobów obliczeniowych.

W cri-o znaleziono lukę, która pozwala na wstrzyknięcie dowolnej właściwości systemd za pomocą adnotacji Pod. Użytkownik, który może utworzyć pod z dowolną adnotacją, może wykonać dowolną akcję na systemie gospodarza.

W systemie S.I.L. 388 firmy Setor Informatica odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hprinter. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.