CVE Vulnerability Catalog

CVE-2022-4557 describes an improper neutralization of special elements used in SQL commands, leading to SQL Injection vulnerability in Smartpower Web.

Improper Input Validation vulnerability in Group Arge Energy and Control Systems Smartpower Web allows PHP Local File Inclusion. This issue affects Smartpower Web: before 23.01.01.

The Remember Me function in Mura CMS before version 10.0.580 contains a vulnerability that allows attackers to bypass authentication via a crafted web request. The flaw stems from improper validation of session tokens.

Serenissima Informatica Fast Checkin version v1.0 is vulnerable to unauthenticated SQL injection. An attacker can remotely execute arbitrary SQL queries without authentication.

An arbitrary file write vulnerability in Serenissima Informatica Fast Checkin v1.0 allows unauthenticated attackers to upload malicious files to the web root. Attackers can gain server access via a web shell.

The vulnerability in the Robot application in Ip-label Newtest before v8.5R0 uses weak signature checks on executed binaries. This allows an attacker with write access to replace NEWTESTREMOTEMANAGER.EXE and escalate privileges.

Wtyczka ContentStudio dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień w kilku funkcjach w wersjach do 1.2.5 włącznie. Umożliwia to nieautoryzowanym atakującym uzyskanie metadanych bloga, w tym tokena contentstudio_token wtyczki.

SQL Injection vulnerability in phpMyAdmin 5.x before 5.2.0, located in the getTableCreationQuery function in CreateAddField.php. An attacker can inject malicious SQL queries via the tbl_storage_engine or tbl_collation parameters to tbl_create.php.

W systemie zamówień online tourist5 w wersji 1.0 występuje wiele podatności na ataki typu SQL Injection. Te luki mogą umożliwić atakującym manipulację zapytaniami do bazy danych.

Wtyczka IP Blacklist Cloud autorstwa Adeel Ahmeda w wersjach do 5.00 zawiera podatność na uwierzytelnioną injekcję SQL (SQLi). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

The Call Center System developed by Bulutses Information Technologies before version 3.0 has an unauthenticated SQL Injection vulnerability. This has been fixed in version 3.0.

A SQL Injection vulnerability in the GullsEye terminal operating system due to improper neutralization of special elements used in SQL commands. This issue affects versions before 5.0.13.

W TrueConf Server 5.2.0.10225 występuje problem z wstrzykiwaniem SQL w interfejsie API, który pozwala zdalnym, nieautoryzowanym atakującym na wykonywanie dowolnych poleceń SQL, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 5.2.6.10025.

Softr v2.0 was found vulnerable to HTML injection via the Name field on the Account page. An attacker can inject malicious HTML code that will be executed in the victim's browser.

W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem związany z potencjalnym przepełnieniem bufora w pamięci oraz nadmiernym odczytem bufora w DTLS. Problem występuje, gdy włączona jest opcja MBEDTLS_SSL_DTLS_CONNECTION_ID, a MBEDTLS_SSL_CID_IN_LEN_MAX jest większe niż 2 * MBEDTLS_SSL_CID_OUT_LEN_MAX.

Alist w wersji 3.4.0 jest podatny na atak typu Directory Traversal, co pozwala na dostęp do plików i katalogów poza zamierzonymi ścieżkami. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu plików.

Wtyczka Cryptocurrency Widgets Pack w wersji 1.8.1 i wcześniejszych zawiera podatność na nieautoryzowany atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

A reflected cross-site scripting (XSS) vulnerability in Proxmox Virtual Environment prior to v7.2-3 allows remote attackers to execute arbitrary web scripts or HTML via non-existent endpoints under path /api2/html/.

Podatność CVE-2022-27518 umożliwia zdalne wykonanie dowolnego kodu bez uwierzytelnienia. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.

Wtyczka Dokan dla WordPressa w wersjach przed 3.7.6 nieprawidłowo sanitizuje i ucieka parametr przed jego użyciem w zapytaniu SQL, co prowadzi do podatności na atak typu SQL injection, którą mogą wykorzystać nieautoryzowani użytkownicy.