CVE Vulnerability Catalog

Podatność CVE-2024-49216 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Feed Comments Number, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 0.2.1 włącznie.

Podatność CVE-2024-48035 dotyczy wtyczki ACF Images Search And Insert, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-48034 dotyczy aplikacji fliperrr, która umożliwia nieograniczone przesyłanie plików z niebezpiecznymi typami. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

W podatności CVE-2024-48030 występuje problem deserializacji niezaufanych danych w aplikacji Webextends Telecash Ricaricaweb, co umożliwia wstrzyknięcie obiektów. Dotyczy to wersji Telecash Ricaricaweb od n/a do 2.2 włącznie.

Podatność CVE-2024-48028 dotyczy deserializacji niezaufanych danych w aplikacji IP Loc8 autorstwa Boyana Raicheva, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji IP Loc8 od n/a do 1.1 włącznie.

Podatność CVE-2024-48027 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki 'External featured image from bing'. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność na deserializację niezaufanych danych w GMRobbins Disc Golf Manager umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Disc Golf Manager od n/a do 1.0.0 włącznie.

Podatność CVE-2024-47649 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki THATplugin Iconize. Problem ten występuje w wersjach Iconize od n/a do 1.2.4 włącznie.

Podatność CVE-2024-49271 dotyczy deserializacji niezaufanych danych w wtyczce Unlimited Elements For Elementor, co umożliwia wykonanie ataku typu Command Injection. Problem ten występuje w wersjach od n/a do 1.5.121.

Podatność CVE-2024-49257 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Azz Anonim Posting, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Azz Anonim Posting od n/a do 0.9 włącznie.

Podatność CVE-2024-49247 dotyczy wtyczki BuddyPress Better Registration w wersjach od n/a do 1.6, umożliwiając obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Wykorzystanie tej luki może prowadzić do nieautoryzowanego dostępu do systemu.

Podatność CVE-2024-48042 dotyczy deserializacji niezaufanych danych w wtyczce Contact Form by Supsystic, co umożliwia wstrzyknięcie poleceń. Problem ten dotyczy wersji wtyczki od n/a do 1.7.28.

Podatność CVE-2023-32191 dotyczy sposobu, w jaki RKE przechowuje stan klastra w configmapie o nazwie `full-cluster-state` w przestrzeni nazw `kube-system`. Informacje te mogą być wykorzystane przez użytkowników nieposiadających uprawnień administratora do eskalacji swoich uprawnień do poziomu administratora.

Wtyczka ZoomSounds dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku 'savepng.php' w wersjach do 5.96 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Mega Menu dla WordPressa jest podatna na tworzenie dowolnych plików w wersjach do 2.0.6 włącznie, poprzez akcję AJAX compiler_save. Umożliwia to nieautoryzowanym atakującym tworzenie dowolnych plików PHP, które mogą być użyte do wykonania złośliwego kodu.

Wtyczka ThemeGrill Demo Importer dla WordPressa jest podatna na obejście uwierzytelniania z powodu braku sprawdzenia uprawnień w funkcji reset_wizard_actions w wersjach od 1.3.4 do 1.6.1. Umożliwia to uwierzytelnionym atakującym zresetowanie bazy danych WordPressa.

Wtyczka Ultimate Membership Pro dla WordPressa jest podatna na obejście uwierzytelniania w wersjach od 7.3 do 8.6. Umożliwia to nieautoryzowanym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator strony, przy użyciu nazwy użytkownika lub identyfikatora użytkownika.

Nieprawidłowa kontrola uprawnień w aplikacji mobilnej (com.transsion.aivoiceassistant) może prowadzić do uruchomienia dowolnego nieeksportowanego komponentu.

Wtyczka UltimateAI dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.8.3 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika w funkcji 'ultimate_ai_register_or_login_with_google', co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.

Podatność na przesyłanie plików w wersji v2.0.9.41 DYCMS Open-Source umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez aplikację, która jedynie sprawdza rozszerzenia plików graficznych w interfejsie użytkownika.