CVE Vulnerability Catalog

Podatność CVE-2024-28878 dotyczy urządzenia IO-1020 Micro ELD, które pobiera kod źródłowy lub plik wykonywalny z sąsiedniej lokalizacji i wykonuje go bez wystarczającej weryfikacji pochodzenia lub integralności kodu.

Podatność CVE-2023-51409 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w silniku AI Jordy Meow: ChatGPT Chatbot. Problem ten występuje w wersjach od n/a do 1.9.98.

Wersje pakietu mysql2 przed 3.9.4 są podatne na zdalne wykonanie kodu (RCE) poprzez funkcję readCodeFor z powodu niewłaściwej walidacji wartości supportBigNumbers i bigNumberStrings.

W MoveTo występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.2. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

In the Linux kernel, the mlx5e driver (for Mellanox network cards) has a bug in the TLS RX resync flow, causing a crash. The list of TLS contexts is vulnerable to corruption due to lack of protection of entries against movements from resync_handle_seq_match() until their resync handling in napi is fully completed.

Plane, narzędzie do zarządzania projektami typu open-source, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 0.17-dev. Problem ten może umożliwić atakującemu wysyłanie dowolnych żądań z serwera hostującego aplikację, co może prowadzić do nieautoryzowanego dostępu do systemów wewnętrznych.

Zidentyfikowano podatność w klasie `exec_utils` pakietu `llama_index`, szczególnie w funkcji `safe_eval`, która umożliwia wstrzykiwanie poleceń prowadzące do wykonania dowolnego kodu. Problem wynika z niewystarczającej walidacji danych wejściowych, co może być wykorzystane do obejścia ograniczeń metod i wykonania nieautoryzowanego kodu.

Podatność CVE-2024-1643 pozwala atakującemu na dołączenie do organizacji, znając jej identyfikator, co umożliwia mu odczyt i modyfikację wszystkich danych w tej organizacji. Problem wynika z niewystarczającej weryfikacji uprawnień użytkowników przy dołączaniu do organizacji.

A command injection vulnerability allows an attacker to perform command injection on Windows applications that indirectly depend on the CreateProcess function when specific conditions are satisfied.

Joda Time v2.12.5 was reported to have a potential NullPointerException in the `wordBased(Locale)` method of the `PeriodFormat` class. However, this is disputed by multiple third parties who believe there is insufficient evidence for the vulnerability, and the submission may have originated from a tool not robust enough for vulnerability identification.

Wtyczka MasterStudy LMS dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 3.3.3 włącznie, poprzez parametr 'template'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Wtyczka Network Summary dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'category' we wszystkich wersjach do 2.0.11 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących zapytań.

Wtyczka Simple Job Board dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.11.0 włącznie, poprzez deserializację niezaufanego wejścia w funkcji job_board_applicant_list_columns_value. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.

Podatność CVE-2023-1083 pozwala nieautoryzowanemu zdalnemu atakującemu, który zna nazwę tematu MQTT, na wysyłanie i odbieranie wiadomości. Atakujący może również wykonywać polecenia konfiguracyjne GET/SET, polecenia restartu oraz aktualizacje oprogramowania.

A NullPointerException was discovered in JFreeChart v1.5.4 via the component /chart/annotations/CategoryLineAnnotation. However, multiple third parties dispute the existence of this vulnerability, suggesting the submission may have been based on a tool that is not sufficiently robust for vulnerability identification.

A potential stack overflow was discovered in Apfloat v1.10.1 in the modPow method of the DoubleModMath class. However, multiple third parties dispute the validity of this report, citing insufficient evidence for the vulnerability's existence.

A NullPointerException was discovered in JGraphT Core version 1.5.2 in the compare method of the ToleranceDoubleComparator class. Note: multiple third parties dispute the existence of this vulnerability, suggesting the submission may be based on an insufficiently robust tool.

In the Linux kernel's ksmbd module, there is a lack of validation of IPC response payload size, which can lead to memory overrun or slab-out-of-bounds. The fix adds validation for three IPC responses with payload.

Wersje ZLMediaKit od 1.0 do 8.0 zawierają podatność na niewłaściwą kontrolę dostępu, która pozwala zdalnym atakującym na eskalację uprawnień oraz uzyskanie poufnych informacji. Domyślnie w systemie aplikacji włączony jest interfejs API http, który używa metody parametru secret do uwierzytelniania, jednak secret jest domyślnie zakodowany.