CVE Vulnerability Catalog

Wtyczka GamiPress, służąca do gamifikacji w WordPressie, jest podatna na atak typu SQL Injection poprzez atrybut 'achievement_types' w skrócie gamipress_earnings we wszystkich wersjach do 6.8.6 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W podatności CVE-2024-28389 występuje luka typu SQL injection w KnowBand spinwheel w wersji 3.0.3 i wcześniejszych, która pozwala zdalnemu atakującemu na uzyskanie podwyższonych uprawnień oraz dostęp do wrażliwych informacji poprzez metodę SpinWheelFrameSpinWheelModuleFrontController::sendEmail().

Oprogramowanie UBEE DDW365 XCNDDW365 w wersji 8.14.3105 na sprzęcie 3.13.1 umożliwia zdalnemu atakującemu w pobliżu Wi-Fi przeprowadzenie ataków XSS typu stored poprzez różne skrypty ASP. Wrażliwe pola obejmują m.in. nazwę serwera SMTP, nazwę użytkownika SMTP oraz różne serwery czasowe.

W systemie zarządzania biblioteką Koha w wersji 23.05.05 i wcześniejszych występuje wiele podatności na ataki typu Cross-site scripting (XSS) w punktach końcowych '/members/moremember.pl' oraz '/members/members-home.pl'. Umożliwia to złośliwym użytkownikom personelu przeprowadzanie ataków CSRF, w tym nieautoryzowane zmiany nazw użytkowników i haseł użytkowników odwiedzających zainfekowaną stronę.

Implementacje protokołu aplikacyjnego UDP są podatne na pętle sieciowe. Nieautoryzowany atakujący może wykorzystać złośliwie skonstruowane pakiety przeciwko podatnej implementacji, co może prowadzić do odmowy usługi (DoS) i/lub nadużycia zasobów.

Wersje wtyczki Advanced Plugins reportsstatistics do 1.3.20 zawierają lukę, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez moduł Raporty sprzedaży, Statystyki, Pola niestandardowe i Eksport.

W systemie zamawiania leków Open Source Medicine Ordering System w wersji 1.0 odkryto podatność na wstrzyknięcie SQL poprzez parametr daty w pliku /admin/reports/index.php.

Systemy Franklin Fueling EVO 550 i EVO 5000 są podatne na lukę typu Path Traversal, która może umożliwić atakującemu dostęp do wrażliwych plików na systemie.

Podatność CVE-2024-29094 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce HasThemes HT Easy GA4, co prowadzi do możliwości ataków typu Stored XSS. Problem ten dotyczy wersji od n/a do 1.1.7.

Podatność CVE-2024-29092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Permalink Manager Lite, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 2.4.3.

Podatność CVE-2024-29091 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Dnesscarkey WP Armour – Honeypot Anti Spam, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.1.13.

W podatności CVE-2024-27998 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Barcode Scanner z modułem zarządzania zapasami i zamówieniami. Problem dotyczy wersji od n/a do 1.5.3 włącznie.

Podatność CVE-2024-29103 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w NinjaTeam Database for Contact Form 7, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji od n/a do 3.0.6.

Podatność CVE-2024-29102 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w rozszerzeniach HasThemes dla CF7. Problem ten dotyczy wersji Extensions For CF7 od n/a do 3.0.6.

Podatność CVE-2024-29099 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Evergreen Content Poster, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.4.1.

W klasie tempfile.TemporaryDirectory w CPython zidentyfikowano problem, który dotyczy wersji 3.12.1, 3.11.7, 3.10.13, 3.9.18 oraz 3.8.18 i wcześniejszych. Klasa ta może dereferencjonować symlinki podczas czyszczenia błędów związanych z uprawnieniami.

W podatności CVE-2024-29126 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Specific Content For Mobile – Customize the mobile version without redirections w wersjach od n/a do 0.1.9.5.

W podatności CVE-2024-29125 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Coupon Affiliates w wersjach od n/a do 5.12.7.

Podatność CVE-2024-29123 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bibliotece Link Library autorstwa Yannicka Lefebvre. Problem ten dotyczy wersji biblioteki Link Library od n/a do 7.6.

W podatności CVE-2024-29121 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Firassaidi WooCommerce License Manager, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji WooCommerce License Manager od n/a do 5.3.1.