CVE Vulnerability Catalog

W podatności CVE-2024-29117 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w formularzach kontaktowych Cimatti. Problem ten dotyczy wersji formularzy kontaktowych od n/a do 1.7.0.

Podatność CVE-2024-29116 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WooThumbs dla WooCommerce. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z wersji od n/a do 5.5.3.

Podatność CVE-2024-29113 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Metagauss RegistrationMagic, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji RegistrationMagic od n/a do 5.2.5.9.

W podatności CVE-2024-29110 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Pauple Table & Contact Form 7 Database – Tablesome. Problem ten dotyczy wersji od n/a do 1.0.27.

Podatność CVE-2024-29142 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Better Search – Relevant search results dla WordPress. Problem ten dotyczy wersji od n/a do 3.3.0.

W podatności CVE-2024-29139 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w MyCurator Content Curation, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji MyCurator Content Curation od n/a do 3.76.

Podatność CVE-2024-29138 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Restrict User Access – Membership Plugin z wersją od n/a do 2.5 włącznie.

W podatności CVE-2024-29137 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Themefic Tourfic. Problem dotyczy wersji Tourfic od n/a do 2.11.7 włącznie.

Podatność na deserializację niezaufanych danych w Themefic Tourfic dotyczy wersji Tourfic od n/a do 2.11.17 włącznie. Problem ten może prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu.

Podatność CVE-2024-29135 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Themefic Tourfic. Problem ten występuje w wersjach Tourfic od n/a do 2.11.15 włącznie.

Podatność CVE-2024-29130 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Contact Form 7 – PayPal & Stripe Add-on, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 2.0.

W podatności CVE-2024-29129 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w OxyExtras, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji OxyExtras od n/a do 1.4.4.

W podatności CVE-2024-29128 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wtyczki POST SMTP w wersjach od n/a do 2.8.6.

Podatność CVE-2024-29127 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w AAM Advanced Access Manager, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 6.9.20.

W systemie Cegid Meta4 HR zidentyfikowano podatność na nieograniczone przesyłanie plików, która umożliwia atakującemu przesyłanie złośliwych plików na serwer za pośrednictwem pliku '/config/espanol/update_password.jsp'. Modyfikując parametr 'M4_NEW_PASSWORD', atakujący może przechować złośliwy plik JSP w katalogu plików, który zostanie wykonany po załadowaniu w aplikacji.

Strony konfiguracyjne w Cegid Meta4 HR nie powinny być umieszczane na serwerach internetowych, ponieważ ujawniają ścieżki plików klientowi, który może być atakującym. Zamiast poprawiać te strony, zostaną one usunięte z przyszłych wydań, ponieważ nie oferują funkcjonalności produktu.

W systemie Meta4 HR zidentyfikowano podatność na ujawnienie informacji. Atakujący może uzyskać dostęp do wielu informacji o aplikacji, takich jak zmienne ustawione w procesie, wersje Tomcat, wersje bibliotek oraz system operacyjny za pomocą żądania HTTP GET '/sitetest/english/dumpenv.jsp'.

Podatność typu Directory Traversal w Devan-Kerman ARRP w wersji 0.8.1 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję dumpDirect w komponencie RuntimeResourcePackImpl.

Problem w komponencie HistoryQosPolicy w FastDDS w wersjach v2.12.x, v2.11.x, v2.10.x i v2.6.x prowadzi do wystąpienia błędu SIGABRT (sygnał przerwania) po otrzymaniu danych od DataWritera.

Podatność CVE-2024-22017 dotyczy funkcji setuid(), która nie wpływa na wewnętrzne operacje io_uring w libuv, jeśli zostały zainicjowane przed wywołaniem setuid(). Umożliwia to procesowi wykonywanie uprzywilejowanych operacji mimo teoretycznego zrezygnowania z takich uprawnień.