CVE Vulnerability Catalog

H3C ER8300G2-X jest podatny na błędną kontrolę dostępu. Hasło do systemu zarządzania routerem może być uzyskane poprzez interfejs logowania na stronie systemu zarządzania.

Problem w funkcji verifyPassword w hexo-theme-matery w wersji 2.0.0 umożliwia atakującym ominięcie uwierzytelnienia i dostęp do stron chronionych hasłem.

Problem w bibliotece nora-firebase-common w wersjach od 1.0.41 do 1.12.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt przekazywany do parametru updateState metody updateStateInternal.

W platformie API Akana w wersjach przed i włącznie z 2022.1.3 odkryto podatność typu server-side request forgery (SSRF). Zgłoszona przez Jakoba Antonssona.

Judge0 to otwartoźródłowy system do wykonywania kodu online. Domyślna konfiguracja Judge0 naraża usługę na ucieczkę z piaskownicy poprzez Server Side Request Forgery (SSRF), co pozwala atakującemu na uzyskanie nieograniczonego dostępu do wykonania kodu jako root na docelowej maszynie.

Judge0 to otwartoźródłowy system do wykonywania kodu online. Aplikacja używa polecenia UNIX chown na nieufnym pliku w piaskownicy, co pozwala atakującemu na stworzenie dowiązania symbolicznego do pliku poza piaskownicą i uruchomienie chown na dowolnych plikach poza nią.

Judge0 to otwartoźródłowy system do wykonywania kodu online. Aplikacja nie uwzględnia dowiązań symbolicznych umieszczonych w katalogu sandbox, co może być wykorzystane przez atakującego do zapisu w dowolnych plikach i uzyskania wykonania kodu poza sandboxem.

W podatności CVE-2024-32599 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce WP Dummy Content Generator, co może prowadzić do nieautoryzowanego wykonania kodu. Problem dotyczy wersji wtyczki od n/a do 3.2.1 włącznie.

W podatności CVE-2023-49742 występuje brak autoryzacji w systemie Support Genix, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji od n/a do 1.2.3.

JizhiCMS 2.5 suffers from a file upload vulnerability due to insufficient validation. An attacker can upload a malicious file, potentially leading to remote code execution.

In the Linux kernel, the Xilinx cryptographic driver (zynqmp) has an issue where crypto_finalize_request is called without disabling bottom halves (BH), leading to a WARNING and potential system instability.

In the Linux kernel, the igc driver (Intel Ethernet Controller I225) has a vulnerability leading to memory corruption. Double freeing a frame in XDP_REDIRECT when the queue is full causes a kernel panic. The issue involves calling xdp_return_frame_rx_napi in igc_xdp_xmit, which is the caller's responsibility.

In the Linux kernel's cifs module, an underflow in parse_server_interfaces() occurs due to comparing ssize_t with size_t, causing the loop to continue with negative bytes_left. The fix addresses the type conversion issue.

Podatność CVE-2024-32514 dotyczy wtyczki WP Poll Maker, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 3.4.

Urządzenia Delta Electronics DVW-W02W2-E2 udostępniają interfejs administracyjny w sieci, który jest podatny na ataki typu injection komend oraz przepełnienia stosu. Skuteczne wykorzystanie tych luk umożliwia zdalnym, nieautoryzowanym atakującym uzyskanie zdalnego wykonania kodu z podwyższonymi uprawnieniami na zaatakowanych urządzeniach.

W frameworku BentoML występuje podatność na niebezpieczną deserializację, która umożliwia zdalne wykonanie kodu (RCE) poprzez wysłanie specjalnie przygotowanego żądania POST. Wykorzystując tę podatność, atakujący mogą wykonywać dowolne polecenia na serwerze hostującym aplikację BentoML.

Amazon AWS Amplify CLI before 12.10.1 incorrectly configures the role trust policy of IAM roles associated with Amplify projects. When the Authentication component is removed, a Condition property is removed but 'Effect':'Allow' remains, making sts:AssumeRoleWithWebIdentity available without conditions.

Wtyczka Realtyna Organic IDX zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 4.14.4.

W komponentach Xiongmai AHB7804R-MH-V2, AHB8004T-GL, AHB8008T-GL, AHB7004T-GS-V3, AHB7004T-MHV2, AHB8032F-LME oraz XM530_R80X30-PQ_8M odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności usługi Sofia, która umożliwia manipulację danymi prowadzącą do niewłaściwych kontroli dostępu.