CVE Vulnerability Catalog

Podatność CVE-2024-31345 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Sukhchain Singh Auto Poster. Problem ten występuje w wersjach Auto Poster od n/a do 1.2.

Podatność CVE-2024-31286 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w wtyczce WP Photo Album Plus autorstwa J.N. Breetvelta (OpaJaap). Problem ten występuje w wersjach przed 8.6.03.005.

Podatność CVE-2024-31280 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w aplikacji Church Admin w wersjach od n/a do 4.1.5. Umożliwia to atakującym przesyłanie złośliwych plików na serwer.

W wersji Java CData Connect < 23.4.8846 występuje podatność na przejście ścieżki, gdy aplikacja działa na wbudowanym serwerze Jetty. Może to umożliwić nieautoryzowanemu zdalnemu atakującemu uzyskanie pełnego dostępu administracyjnego do aplikacji.

W wersji Java serwera CData API < 23.4.8844 występuje podatność na przejście ścieżki, gdy działa on na wbudowanym serwerze Jetty. Może to umożliwić nieautoryzowanemu zdalnemu atakującemu uzyskanie pełnego dostępu administracyjnego do aplikacji.

Webhood to samodzielnie hostowany skaner URL, który analizuje strony phishingowe i złośliwe. W wersjach 0.9.0 i wcześniejszych backendowe obrazy kontenerów Webhood są podatne na brak uwierzytelnienia dla krytycznych funkcji, co pozwala nieautoryzowanemu atakującemu na wysłanie żądania HTTP do API administracyjnego bazy danych (Pocketbase) w celu utworzenia konta administratora.

MailDev w wersjach od 2 do 2.1.0 umożliwia zdalne wykonanie kodu poprzez spreparowany nagłówek Content-ID dla załącznika e-mail, co prowadzi do zapisywania dowolnego kodu w pliku routes.js przez lib/mailserver.js.

Wykryto podatność na wstrzykiwanie poleceń w samodzielnie hostowanych serwerach UniFi Network (Linux) z aplikacją UniFi Network (wersja 8.0.28 i wcześniejsze). Umożliwia to złośliwemu użytkownikowi z uprawnieniami administratora aplikacji UniFi Network eskalację uprawnień do poziomu root na urządzeniu gospodarza.

Use-after-free vulnerability in the Linux kernel's TLS implementation during failed backlog decryption. When the crypto operation returns -EBUSY, tls_do_decryption waits for all async decryptions to complete, and if one fails, pages are released but have already been passed to the async callback.

Podatność typu CSV Injection w Addactis IBNRS w wersji 3.10.3.107 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany plik .ibnrs, wykorzystując parametry takie jak Opis projektu, Identyfikatory, Nazwa niestandardowego trójkąta (w sekcji Trójkąty wejściowe) oraz Nazwa krzywej dochodowości.

In the Linux kernel, in the SCSI target subsystem (pscsi), there is a bug in handling the error case when freeing a bio object. A bio allocated by bio_kmalloc() must be freed by bio_uninit() and kfree(), but this is not done correctly in this case, leading to a WARN and NULL pointer dereference in bio_free().

W podatności CVE-2024-25096 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w aplikacji Canto Inc. Problem ten dotyczy wersji Canto od n/a do 3.0.7.

W Cwicly Builder, SL występuje podatność na niewłaściwą kontrolę generacji kodu, co prowadzi do możliwości wstrzykiwania kodu. Problem ten dotyczy wersji Cwicly od n/a do 1.4.0.2.

Podatność CVE-2023-25699 dotyczy niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach systemowych w integracji VideoWhisper Live Streaming. Umożliwia to atak typu OS Command Injection, który może wpłynąć na wersje od n/a do 5.5.15.

W podatności CVE-2024-31390 wtyczki Soflyy Breakdance występuje niewłaściwa kontrola generacji kodu, co prowadzi do możliwości wstrzyknięcia kodu. Problem ten dotyczy wersji Breakdance od n/a do 1.7.2.

W podatności CVE-2024-31380 w Soflyy Oxygen Builder występuje niewłaściwa kontrola generowania kodu, co umożliwia wstrzykiwanie kodu. Problem dotyczy wersji Oxygen Builder od n/a do 4.9.

W podatności CVE-2024-27972 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w wtyczce WP Fusion Lite w wersjach od n/a do 3.41.24. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu.

Podatność CVE-2024-27951 dotyczy wtyczki Multiple Page Generator Plugin – MPG, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 3.4.0.

W podatności CVE-2024-25918 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w InstaWP Connect w wersjach od n/a do 0.1.0.8. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu.