CVE Vulnerability Catalog

In Symfony from versions 2.0.0, 5.0.0, and 6.0.0 up to 4.4.51, 5.4.31, and 6.3.8, some Twig filters in CodeExtension use `is_safe=html` but do not actually ensure their input is safe. As of versions 4.4.51, 5.4.31, and 6.3.8, Symfony escapes the output of the affected filters.

W jądrze Linuksa odkryto warunkowanie wyścigu w sterowniku QXL. Funkcja qxl_mode_dumb_create() dereferencjonuje qobj zwracany przez qxl_gem_object_create_with_handle(), jednak tylko uchwyt trzyma do niego referencję. Ta wada umożliwia atakującemu odgadnięcie wartości zwracanego uchwytu i wywołanie problemu use-after-free, co może prowadzić do odmowy usługi lub eskalacji uprawnień.

Wtyczka CloudNet360 autorstwa GARY'ego JEZORSKIEGO w wersjach do 3.2.0 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

Wtyczka WordPress Simple HTML Sitemap w wersjach do 2.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wtyczka FLOWFACT WP Connector w wersjach do 2.1.7 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

Wtyczka User Avatar autorstwa Enej Bajgoric, Gagan Sandhu i CTLT DEV w wersjach do 1.4.11 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Wtyczka Kathy Darling Simple User Listing w wersjach do 1.9.2 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

A flaw was found in wildfly-core. A management user could use the resolve-expression in the HAL Interface to read possible sensitive information from the Wildfly system. This issue could allow a malicious user to access the system and obtain possible sensitive information from the system.

Podatność CVE-2022-41616 dotyczy niewłaściwej neutralizacji elementów formuły w pliku CSV w aplikacji Export Users Data CSV, która jest dotknięta od wersji n/a do 2.1. Problem ten może prowadzić do nieautoryzowanego wykonania kodu w kontekście użytkownika.

Videolan VLC prior to version 3.0.20 contains an Integer underflow that leads to an incorrect packet length.

Videolan VLC prior to version 3.0.20 contains an incorrect offset read that leads to a Heap-Based Buffer Overflow in function GetPacket() and results in memory corruption.

A Cross-Site Scripting vulnerability in Wonder CMS versions 3.2.0 through 3.4.2 allows a remote attacker to execute arbitrary code via a crafted script uploaded to the installModule component.

Podatność CVE-2023-25983 dotyczy niewłaściwej neutralizacji elementów formuły w pliku CSV w WPOmnia KB Support. Problem ten dotyczy wersji KB Support od n/a do 1.5.84.

Wtyczka WD WidgetTwitter dla WordPressa jest podatna na atak typu SQL Injection poprzez shortcode w wersjach do 1.0.9 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'kontrybutora' dodawanie dodatkowych zapytań SQL do już istniejących zapytań.

Wtyczka WPDBSpringClean w wersjach do 1.6 zawiera podatność na nieautoryzowane odzwierciedlone ataki typu Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

A Spoofing vulnerability in Microsoft OneNote allows an attacker to impersonate trusted content or files.

A flaw was found in KVM. An improper check in svm_set_x2apic_msr_interception() may allow direct access to host x2apic msrs when the guest resets its apic, potentially leading to a denial of service condition.

Wtyczka wpDiscuz w wersjach do 7.6.11 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

Podatność CVE-2023-47182 dotyczy ataku typu Cross-Site Request Forgery (CSRF), który prowadzi do podatności na Stored Cross-Site Scripting (XSS) w wtyczce Nazmul Hossain Nihal Login Screen Manager w wersjach do 3.5.2. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.