CVE Vulnerability Catalog

Wtyczki Envato Elements oraz Template Kit – Import dla WordPressa są podatne na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typu pliku podczas rozpakowywania przesłanych plików Zip. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą przesyłać dowolne pliki, co może prowadzić do zdalnego wykonania kodu.

Wtyczka JetBackup – WP Backup, Migrate & Restore dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.3.9 włącznie. Problem wynika z braku walidacji nonce w funkcji backup_guard_get_import_backup(), co umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer podatnej witryny za pomocą sfałszowanego żądania.

CVE-2022-3760 is a vulnerability related to improper neutralization of special elements used in SQL commands, leading to potential SQL Injection attacks in the Mia-Med application before version 1.0.0.58.

W repozytorium GitHub phpipam/phpipam przed wersją 1.5.2 występuje podatność na atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

QlikView 12.60.2 was found to have a stored cross-site scripting (XSS) vulnerability in the QvsViewClient functionality. This allows an attacker to inject a malicious script that is stored on the server and executed in other users' browsers.

A Cross Site Scripting (XSS) vulnerability was found in VICIdial versions 2.14-610c and 2.10-415c. It allows an attacker to execute arbitrary code via parameters in /agc/vicidial.php, agc/vicidial-greay.php, and /vicidial/KHOMP_admin.php.

W podatności CVE-2023-0979 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w systemie MedData MedDataPACS. Problem dotyczy wersji przed 3 marca 2023 roku.

Podatność CVE-2023-0839 dotyczy niewłaściwej ochrony dla wychodzących komunikatów o błędach i sygnałów alarmowych w oprogramowaniu inSCADA firmy ProMIS Process Co. Umożliwia to przeprowadzenie ataku typu Account Footprinting.

Incorrect Calculation of Buffer Size in GitHub repository vim/vim prior to 9.0.1378.

Heap-based Buffer Overflow in GitHub repository vim/vim prior to 9.0.1376.

An issue in the Shenzhen Zhibotong Electronics WBT WE1626 Router version 21.06.18 allows an attacker to execute arbitrary commands via a serial connection to the UART port.

An insecure permissions vulnerability in the ZBT WE1626 router allows attackers to obtain sensitive information via the SPI bus interface connected to the NAND flash memory pinout.

An issue discovered in Shenzhen Zhiboton Electronics ZBT WE1626 Router v 21.06.18 allows attackers to escalate privileges via WGET command to the Network Diagnosis endpoint.

Podatność CVE-2023-0578 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie ASOS Information Technologies Book Cites, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji przed 23.01.05.

W podatności CVE-2023-0577 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie SOBIAD, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji SOBIAD przed 23.02.01.

A SQL injection vulnerability was discovered in the E-Mail to Work Order function of Accruent LLC Maintenance Connection 2021 (all versions) and 2022.2. It allows an attacker to manipulate database queries through improperly processed input data.

Wtyczka Metform Elementor Contact Form Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola tekstowe w formularzach w wersjach do 3.1.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony, czyli strony z przesyłkami.

CVE-2021-3854 describes an improper neutralization of special elements used in an SQL command, allowing SQL Injection in Glox Technology Useroam Hotspot. This issue affects Useroam Hotspot versions before 5.1.0.15.

A stack overflow vulnerability was discovered in the Jensen of Scandinavia Eagle 1200AC router running firmware version V15.03.06.33_en via the wepkey1 parameter in the /goform/WifiBasicSet script.