CVE Vulnerability Catalog

Podatność CVE-2023-23991 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w wtyczce Booking Calendar od WPdevelop / Oplugins, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji Booking Calendar od n/a do 9.4.3.

Podatność typu Cross-site Scripting (XSS) w motywach KlbTheme Cosmetsy, Partdo, Bacola, Medibazar, Furnob i Clotya pozwala na nieprawidłową neutralizację danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do określonych wersji dla każdego z wymienionych motywów.

Wtyczka Check & Log Email dla WordPressa jest podatna na wstrzykiwanie hooków bez uwierzytelnienia we wszystkich wersjach do i włącznie z 1.0.9 za pośrednictwem funkcji check_nonce. Umożliwia to nieautoryzowanym atakującym wykonywanie akcji z użyciem hooków w WordPressie w określonych okolicznościach.

Wykorzystując tę podatność, użytkownicy z niższymi uprawnieniami w Content Manager mogą manipulować klientami Content Manager, aby podnieść swoje uprawnienia i wykonywać nieautoryzowane operacje.

Podatność na niebezpieczne uprawnienia w systemie monitorowania pojazdów CMSV6 w wersjach od 7.31.0.2 do 7.32.0.3 umożliwia zdalnemu atakującemu eskalację uprawnień za pomocą domyślnego komponentu hasła.

W wersjach @thi.ng/paths do 5.1.62 występuje problem, który umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą komponentów mutIn i mutInManyUnsafe.

W systemie zarządzania jakością Mergen Software występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy systemu do 25 marca 2024 roku.

The fastmagsync plugin for Home-Made.io version 1.7.51 and earlier contains a vulnerability that allows a remote attacker to execute arbitrary code via the getPhpBin() component.

W interfejsie diagnostycznym Bosch Network Synchronizer występuje podatność na wstrzykiwanie poleceń, która umożliwia nieautoryzowanym użytkownikom pełny dostęp do urządzenia.

Podatność typu 'Cross-site Scripting' (XSS) w wtyczce Youzify - Buddypress Moderation, która występuje w wersjach od n/a do 1.2.5. Problem polega na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

In the Linux kernel, NFSv4 fixed a NULL pointer dereference in pnfs_mark_matching_lsegs_return(). The function did not check if the struct pnfs_layout_range argument had a value before dereferencing it, causing an oops.

In the Linux kernel, the filelayout_decode_layout() function in NFS used an incorrect structure size, potentially leading to memory corruption. The fix changes the size to NFS_MAXFHSIZE, which matches the buffer size.

In the Linux kernel TIPC module, a vulnerability was found where improperly appending fragments to a skb's frag_list can lead to use-after-free. The issue occurs when the skb was cloned or modified by pskb_copy() or pskb_may_pull(), and the new fragment is shared by multiple skbs despite only one skb_get() call.

In the Linux kernel, the mt7530 DSA driver has a vulnerability causing VLAN traffic leaks. The PCR_MATRIX field is not reset when VLAN filtering is disabled, which may lead to unintended traffic forwarding between bridges.

In the Linux kernel, the lantiq network driver has a vulnerability leading to memory corruption in the RX ring. When memory allocation or DMA mapping fails, an invalid address is programmed into the descriptor, which can lead to memory corruption. The fix makes DMA reuse the previous skb and mapping and drop the packet, incrementing the rx drop counter.

Podatność CVE-2024-24899 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w aops-zeus na systemie Linux, co umożliwia wstrzyknięcie poleceń. Problem ten występuje w wersjach aops-zeus od 1.2.0 do 1.4.0.

Podatność CVE-2024-24897 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach, co prowadzi do możliwości wykonania ataku typu Command Injection w A-Tune-Collector na systemie Linux. Problem ten występuje w wersjach od 1.1.0-3 do 1.3.0.

Podatność CVE-2024-24892 dotyczy narzędzi migracyjnych openEuler na systemie Linux, gdzie niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych prowadzi do możliwości wstrzyknięcia poleceń oraz podniesienia uprawnień. Problem ten występuje w wersjach od 1.0.0 do 1.0.1.

Podatność CVE-2024-24890 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w openEuler gala-gopher na systemie Linux, co umożliwia wstrzyknięcie poleceń. Problem ten występuje w wersji gala-gopher do 1.0.2.

Podatność typu Time-of-check Time-of-use (TOCTOU) w openEuler iSulad na systemie Linux pozwala na wykorzystanie warunków wyścigu. Problem ten dotyczy plików programowych iSulad w wersjach 2.0.18-13 oraz od 2.1.4-1 do 2.1.4-2.