Katalog podatności CVE

Wtyczka Thim Core (od ThimPress) zawiera podatność typu Cross-Site Request Forgery w wersjach od n/a do 2.3.3. Podatność ta umożliwia atakującemu wykorzystanie mechanizmu CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka LoginWP - Pro zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL). Problem dotyczy wersji do 4.0.8.5 włącznie.

Wtyczka Dokan Pro do WordPressa zawiera podatność Cross-Site Scripting (XSS) typu Stored, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wszystkich wersji do 3.14.5 włącznie.

Apache SIS ma podatność na XML External Entity (XXE), która pozwala atakującemu na ujawnienie zawartości lokalnych plików serwera podczas parsowania określonych formatów (GeoTIFF, ISO 19115, GML, GPX). Dotyczy wersji od 0.4 do 1.5.

Wtyczka Wallet System for WooCommerce (wallet-system-for-woocommerce) ma podatność na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 2.7.3 włącznie.

Podatność polegająca na wstawieniu wrażliwych informacji do wysyłanych danych w wtyczce AweBooking od awethemes umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy AweBooking w wersjach od n/a do 3.2.26 włącznie.

Wtyczka AnyWhere Elementor Pro (wersje do 2.29 włącznie) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.

Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer zawiera podatność typu SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer zawiera podatność typu SQL Injection, umożliwiającą uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń SQL w celu odczytu zawartości bazy danych.

Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność Path Traversal, umożliwiającą uwierzytelnionym zdalnym atakującym odczyt nazw folderów w określonej ścieżce poprzez wykorzystanie Absolute Path Traversal.

Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność Path Traversal, umożliwiającą uwierzytelnionym zdalnym atakującym odczyt nazw folderów w określonej ścieżce poprzez wykorzystanie Absolute Path Traversal.

Platforma QOCA aim AI Medical Cloud Platform firmy Quanta Computer ma podatność braku autoryzacji, która pozwala uwierzytelnionym zdalnym atakującym modyfikować określone parametry pakietów sieciowych. Umożliwia to niektórym funkcjom systemu dostęp do plików innych użytkowników.

Znaleziono lukę w bg5sbk MiniCMS do wersji 1.8. Dotyczy ona funkcji delete_page w pliku /minicms/mc-admin/page.php komponentu File Recovery Request Handler. Manipulacja powoduje nieprawidłowe uwierzytelnienie. Atak można przeprowadzić zdalnie. Exploit został opublikowany i może być użyty. Dostawca został powiadomiony, ale nie odpowiedział.

Zidentyfikowano podatność w sfturing hosp_order do wersji 627f426331da8086ce8fff2017d65b1ddef384f8. Podatność dotyczy funkcji findOrderHosNum w pliku /ssm_pro/orderHos/. Manipulacja argumentami hospitalAddress/hospitalName prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty. Produkt nie używa wersjonowania, więc informacje o dotkniętych i niedotkniętych wersjach są niedostępne. Dostawca został skontaktowany, ale nie odpowiedział.

Kentico Xperience 13 jest podatny na przechowywany atak XSS przez komponent formularza, umożliwiający atakującemu przejęcie sesji użytkownika i wykonywanie działań w jego kontekście bezpieczeństwa.

Wykryto podatność w cld378632668 JavaMall do wersji 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0. Dotyczy ona funkcji delete w pliku src/main/java/com/macro/mall/controller/MinioController.java. Manipulacja argumentem objectName powoduje path traversal. Atak można zainicjować zdalnie. Produkt używa ciągłego dostarczania z wydaniami rolling release, więc szczegóły wersji nie są dostępne. Dostawca został powiadomiony, ale nie odpowiedział.

Wykryto podatność w projekcie JavaMall (cld378632668) w funkcji Upload w pliku MinioController.java. Manipulacja danymi wejściowymi pozwala na nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Produkt stosuje model wydań ciągłych (rolling releases), więc szczegóły wersji nie są dostępne, a producent nie odpowiedział na zgłoszenie.

JFrog Artifactory (Workers) w wersjach od 7.94.0 do 7.117.10 (wyłącznie) jest podatny na Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka może pozwolić na wykonanie złośliwego skryptu w przeglądarce użytkownika.

Podatność w Petlibro Smart Pet Feeder Platform do wersji 1.7.31 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych użytkowników poprzez brak weryfikacji własności. Atakujący mogą wysyłać żądania do /member/pet/detailV2 z dowolnymi identyfikatorami zwierząt, uzyskując wrażliwe informacje.

Podatność w platformie Petlibro Smart Pet Feeder do wersji 1.7.31 umożliwia nieautoryzowany dostęp do informacji o urządzeniu poprzez niebezpieczne punkty końcowe API. Atakujący mogą wykorzystać identyfikatory zwierząt domowych, aby pobrać numery seryjne i adresy MAC, co prowadzi do pełnej kontroli nad urządzeniem.