Katalog podatności CVE

Wtyczka Booking Calendar dla WordPressa jest podatna na atak typu time-based blind SQL Injection poprzez parametr 'dates_to_check' we wszystkich wersjach do 10.14.8 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W systemie FantasticLBP Hotels Server do wersji 67b44df162fab26df209bd5d5d542875fcbec1d0 zidentyfikowano lukę, która dotyczy nieznanego kodu w pliku /controller/api/hotelList.php. Manipulacja argumentem pickedHotelName/type prowadzi do wstrzyknięcia SQL.

Wykryto podatność w serwerze FantasticLBP Hotels do wersji 67b44df162fab26df209bd5d5d542875fcbec1d0, która dotyczy nieznanej części pliku /controller/api/OrderList.php. Manipulacja argumentem 'telephone' prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

System Oceny i Wsparcia Uczniów opracowany przez JHENG GAO ma podatność na ujawnienie informacji wrażliwych, co pozwala nieautoryzowanym atakującym zdalnie na przeglądanie określonej strony oraz uzyskiwanie dostępu do kont testowych i haseł.

Wtyczka URL Shortify dla WordPressa w wersjach przed 1.11.4 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka URL Shortify dla WordPressa w wersjach przed 1.11.3 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do odzwierciedlonego ataku typu cross-site scripting (XSS). Atak ten może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wykryto podatność w Shiguangwu sgwbox N3 w wersji 2.0.25, która dotyczy nieznanej funkcji pliku /eshell komponentu API. Manipulacja tą funkcją prowadzi do ataku typu path traversal, co umożliwia zdalne przeprowadzenie ataku.

NXLog Agent w wersjach przed 6.11 może załadować plik określony przez zmienną środowiskową OPENSSL_CONF. To może prowadzić do nieautoryzowanego dostępu do zasobów systemowych.

Wykryto podatność w gmg137 snap7-rs do wersji 1.142.1. Problem dotyczy funkcji snap7_rs::client::S7Client::as_ct_write w pliku /tests/snap7-rs/src/client.rs, co prowadzi do przepełnienia bufora na stercie. Atak może być inicjowany zdalnie.

W gmg137 snap7-rs do wersji 1.142.1 znaleziono lukę, która wpływa na funkcję TSnap7MicroClient::opWriteArea w pliku s7_micro_client.cpp. Wykonanie manipulacji może prowadzić do przepełnienia bufora na stercie, co umożliwia zdalne przeprowadzenie ataku.

W systemie Advanced Online Examination System 1.0 wykryto podatność, która dotyczy nieznanej funkcji w pliku /query/loginExe.php. Manipulacja argumentem 'Username' prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W systemie COVID Tracking System 1.0 wykryto podatność bezpieczeństwa, która dotyczy nieznanej funkcji w pliku /admin/?page=system_info. Manipulacja argumentem meta_value prowadzi do wstrzyknięcia SQL.

Zidentyfikowano słabość w systemie śledzenia COVID itsourcecode w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /admin/?page=user, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.

Zidentyfikowano podatność w systemie zarządzania dostawcami Campcodes w wersji 1.0. Problem dotyczy nieznanego przetwarzania pliku /admin/view_unit.php, gdzie manipulacja argumentem chkId[] prowadzi do wstrzykiwania SQL.

W systemie zarządzania studentami itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /advisers.php. Manipulacja argumentem 'sy' prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

Wykryto podatność w urządzeniach D-Link DIR-860LB1 i DIR-868LB1 w wersjach 203b01/203b03. Problem dotyczy nieznanej funkcji demona DHCP, gdzie manipulacja argumentem Hostname prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie.

Zidentyfikowano słabość w urządzeniu Tenda AC20 w wersji 16.03.08.12, która dotyczy funkcji httpd w pliku /goform/openSchedWifi. Manipulacja argumentami schedStartTime/schedEndTime może prowadzić do przepełnienia bufora.

W urządzeniu Tenda AC20 w wersji 16.03.08.12 odkryto lukę bezpieczeństwa w funkcji formSetRebootTimer w pliku /goform/SetSysAutoRebbotCfg komponentu httpd. Manipulacja argumentem rebootTime prowadzi do przepełnienia bufora na stosie, co umożliwia zdalne przeprowadzenie ataku.

W systemie zarządzania studentami itsourcecode w wersji 1.0 zidentyfikowano podatność, która występuje w nieznanej funkcji pliku /addrecord.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL.

W systemie zamówień online itsourcecode Cake Ordering System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanego przetwarzania pliku /admindetail.php?action=edit, co prowadzi do możliwości wstrzyknięcia SQL poprzez manipulację argumentem ID.