CVE Vulnerability Catalog

Wykryto podatność typu SQL Injection w SCAN_VISIO eDocument Suite Web Viewer firmy Abast. Umożliwia ona nieautoryzowanemu użytkownikowi pobieranie, aktualizowanie i usuwanie wszystkich informacji z bazy danych poprzez parametr 'user' na stronie logowania.

Słaba kontrola dostępu w OpenText PVCS Version Manager umożliwia potencjalne obejście uwierzytelniania oraz przesyłanie plików.

Słaba kontrola dostępu w OpenText PVCS Version Manager umożliwia potencjalne obejście uwierzytelniania oraz pobieranie plików.

W podatności typu OS Command Injection w urządzeniach Kiloview NDI, użytkownik o niskich uprawnieniach może zdalnie wykonać dowolny kod z wysokimi uprawnieniami. Problem dotyczy modeli N3, N3-s, N4, N20, N30, N40 i został naprawiony w wersji oprogramowania 2.02.0227.

Wykorzystanie twardo zakodowanych poświadczeń w Kiloview NDI umożliwia nieautoryzowanym użytkownikom ominięcie procesu uwierzytelniania. Problem ten dotyczy modeli Kiloview NDI N3, N3-s, N4, N20, N30, N40 i został naprawiony w wersji oprogramowania układowego 2.02.0227.

A flaw in GnuTLS can cause an application crash when verifying a specially crafted .pem bundle using the 'certtool --verify-chain' command.

In MISP before version 2.4.187, the add_misp_export function in app/Controller/EventsController.php does not properly check for a valid file upload.

In MISP before version 2.4.187, the __uploadLogo function in app/Controller/OrganisationsController.php does not properly check for a valid logo upload.

Wtyczka File Manager dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 7.2.4. Problem wynika z braku lub nieprawidłowej walidacji nonce na stronie wp_file_manager, co pozwala na dołączenie lokalnych plików JavaScript przez nieautoryzowanych atakujących.

Information disclosure vulnerability in Microsoft Edge for Android (Chromium-based). Could allow unauthorized access to data.

A vulnerability in Lepton CMS version 7.0.0 allows a local attacker to execute arbitrary code via the upgrade.php file in the languages directory.

Podatność CVE-2024-1202 w XPodas Octopod umożliwia obejście uwierzytelniania z powodu podstawowej słabości. Problem dotyczy wersji Octopod przed v1.

An SSRF vulnerability in REBUILD v.3.5 allows a remote attacker to obtain sensitive information and execute arbitrary code via the FileDownloader.java, proxyDownload, and URL parameters.

A vulnerability in Unit4 Financials by Coda prior to version 2023Q4 allows an authenticated user to change the password of any application user via a crafted request, due to improper access control.

Zidentyfikowano potencjalną podatność w platformie OpenText ArcSight. Podatność ta może być wykorzystywana zdalnie.

Podatność związana z deserializacją niezaufanych danych w przyciskach udostępniania w mediach społecznościowych od Sygnoos. Problem ten dotyczy wersji przycisków udostępniania od n/a do 2.1.0.

W podatności CVE-2024-2702 brakuje autoryzacji w wtyczce Olive One Click Demo Import, co pozwala na importowanie ustawień i danych, co może prowadzić do ataków XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.1.1.

Wtyczka UX Flat dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'button' we wszystkich wersjach do 4.4 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do wstrzykniętej strony.

Wtyczka Create by Mediavine dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'id' we wszystkich wersjach do i włącznie z 1.9.4. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Aplikacja zarządzająca dla WooCommerce – powiadomienia o zamówieniach, zarządzanie zamówieniami, zarządzanie leadami, monitorowanie dostępności jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji nouvello_upload_csv_file we wszystkich wersjach do 1.2.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.