CVE Vulnerability Catalog

Podatność CVE-2024-50530 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Stars SMTP Mailer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Stars SMTP Mailer od n/a do 2.2.1 włącznie.

Podatność CVE-2024-50529 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji rudrainn Training – Courses, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Training – Courses od n/a do 2.0.1 włącznie.

Podatność CVE-2024-50527 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Stacks Mobile App Builder, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3.

Podatność CVE-2024-50526 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-50525 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Helloprint, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Helloprint od n/a do 2.0.4 włącznie.

Podatność CVE-2024-50523 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w formularzu kontaktowym All Post Contact Form, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.8.2 włącznie.

W podatności CVE-2024-10035 w systemie CoslatV3 firmy BG-TEK Informatics Security Technologies występuje problem z niewłaściwą kontrolą generowania kodu, co prowadzi do możliwości wstrzyknięcia poleceń oraz eskalacji uprawnień. Dotyczy to wersji do 3.1069.

W podatności CVE-2024-51661 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń (OS Command Injection) w aplikacji Media Library Assistant w wersjach od n/a do 3.19 włącznie.

A SQL injection vulnerability was found in Phpgurukul Beauty Parlour Management System v1.1 in admin/index.php via the username parameter. An attacker can send a malicious SQL query, leading to unauthorized database access.

Phpgurukul Teachers Record Management System v2.1 is vulnerable to SQL Injection via the 'tid' parameter in admin/queries.php. An attacker can exploit this flaw to execute arbitrary SQL queries on the database.

Phpgurukul Teachers Record Management System v2.1 is vulnerable to SQL injection in add-teacher.php via the mobile number or email parameter. An attacker can manipulate these parameters to execute unauthorized database queries.

Projectworlds Online Admission System v1 is vulnerable to SQL Injection in index.php via the 'a_id' parameter. An attacker can manipulate this parameter to execute unauthorized database queries.

Glossarizer w wersji 1.5.2 niewłaściwie próbuje konwertować tekst na HTML. Mimo że aplikacja sama ucieka od specjalnych znaków (np. <>), używana biblioteka konwertuje te zakodowane znaki na prawidłowy HTML, co może prowadzić do przechowywanego XSS.

ZoneMinder to darmowa, otwartoźródłowa aplikacja do monitoringu wideo. W wersjach ZoneMinder v1.37.* do 1.37.64 występuje podatność na atak typu SQL Injection oparty na logice w funkcji web/ajax/event.php, która została naprawiona w wersji 1.37.65.

Podatność typu Cross-Site Request Forgery (CSRF) w EKC Tournament Manager umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji EKC Tournament Manager od n/a do 2.2.1 włącznie.

Wtyczka AI Power: Complete AI Pack dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'handle_image_upload' we wszystkich wersjach do i włącznie z 1.8.89. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W smart kontrakcie PepeGxng, działającym na blockchainie Ethereum, występuje problem, który pozwala zdalnym atakującym na wywarcie nieokreślonego wpływu za pomocą funkcji mint. Należy jednak zauważyć, że ten problem jest kwestionowany przez strony trzecie, ponieważ wpływ ogranicza się do wywołań funkcji.

Problem w kontrakcie inteligentnym PepeGxng, który może być uruchamiany na blockchainie Ethereum, pozwala zdalnym atakującym na wywarcie nieokreślonego wpływu za pomocą funkcji Owned.setOwner. Należy zauważyć, że jest to kwestionowane przez strony trzecie, ponieważ wpływ jest ograniczony do wywołań funkcji.

Wersje Delta Electronics InfraSuite Device Master przed 1.0.12 są podatne na lukę deserializacji, która dotyczy Device-Gateway. Może to umożliwić deserializację dowolnych obiektów .NET przed uwierzytelnieniem.

Wtyczka W3SPEEDSTER dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 7.26 włącznie, poprzez parametr 'script' funkcji hookBeforeStartOptimization(). Problem wynika z przekazywania danych dostarczonych przez użytkownika do funkcji eval().