CVE Vulnerability Catalog

VMware SD-WAN Edge zawiera podatność na wstrzykiwanie poleceń bez uwierzytelnienia, co może prowadzić do zdalnego wykonania kodu. Złośliwy użytkownik z lokalnym dostępem do interfejsu użytkownika routera Edge podczas aktywacji może przeprowadzić atak wstrzykiwania poleceń, co może skutkować pełną kontrolą nad routerem.

Piccolo Admin to interfejs administracyjny/system zarządzania treścią dla Pythona, który pozwala na przesyłanie plików multimedialnych. Domyślnie dozwolony jest typ pliku SVG, co umożliwia atakującemu przesłanie złośliwego pliku SVG, który po załadowaniu może dać nieautoryzowany dostęp do strony administracyjnej.

A Cross Site Scripting (XSS) vulnerability in CA17 TeamsACS version 1.0.1 allows a remote attacker to execute arbitrary code via a crafted script in the errmsg parameter.

W niektórych rejestratorach wideo Hikvision (NVR) występuje podatność na wstrzykiwanie poleceń. Umożliwia to uwierzytelnionemu użytkownikowi z uprawnieniami administratora wykonywanie dowolnych poleceń.

A vulnerability in the Eclipse Vert.x toolkit causes a memory leak in TCP servers configured with TLS and SNI support. When processing an unknown SNI server name assigned the default certificate instead of a mapped certificate, the SSL context is erroneously cached in the server name map, leading to memory exhaustion. Attackers can send TLS client hello messages with fake server names, triggering a JVM out-of-memory error.

W wersji 8 seeyonOA odkryto problem, który pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez metodę importProcess w komponencie WorkFlowDesignerController.class.

In the Linux kernel, in tunnel functions (e.g., VXLAN), there is an out-of-bounds read when building IPv6 PMTU errors. The issue occurs when the ICMPv6 error is built from a non-linear skb, leading to memory corruption (KASAN: slab-out-of-bounds).

In the Linux kernel, a vulnerability in the libceph library can lead to incorrect data interpretation during a short read from the socket. The read_partial_sparse_msg_data() function may invoke the OSD client state machine, leading to bogus data. The fix reuses cursor->total_resid to determine whether to bail and wait for more data.

W uvdesk/community-skeleton występuje niewłaściwe zarządzanie uprawnieniami, co może prowadzić do nieautoryzowanego dostępu do funkcji lub danych. Problem ten może być wykorzystany przez atakujących do uzyskania wyższych uprawnień niż przewidziano.

Heimdall w wersjach przed 2.5.7 pozwala na użycie ikon zawierających dane, które nie są obrazami, takie jak ciąg '<?php ?>'. Może to prowadzić do nieautoryzowanego wykonania kodu na serwerze.

W Kanban Boards dla WordPressa występuje podatność na Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 2.5.21.

Podatność CVE-2024-31097 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce SEO Title Tag w wersjach od n/a do 3.5.9.

Podatność CVE-2024-31092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Comic Easel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Comic Easel od n/a do 1.15.

Podatność CVE-2024-31091 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w edytorze masowym pól niestandardowych SparkWeb Interactive, Inc., co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji edytora od n/a do 1.9.1.

Podatność CVE-2024-31090 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Hacklog Down As PDF w wersjach od n/a do 2.3.6.

W podatności CVE-2024-31087 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module zarządzania stronami pageMash. Problem ten dotyczy wersji pageMash od n/a do 1.3.0.

W bibliotece Post-Plugin występuje podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji biblioteki od n/a do 2.6.2.1.

Podatność CVE-2024-31084 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Pulsar Web Design Weekly Class Schedule, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji Weekly Class Schedule od n/a do 3.19.

W podatności CVE-2024-30561 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w kalendarzu rezerwacji Scientech It Solution, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji kalendarza rezerwacji od n/a do 2.9.6.

Podatność CVE-2024-30558 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Add Shortcodes Actions And Filters w wersjach od n/a do 2.10.