Katalog podatności CVE

W Matter (znanym również jako connectedhomeip lub Project CHIP) w wersjach przed 1.4.0.0, nieograniczone dodawanie etykiet użytkowników w klastrze userlabel może prowadzić do odmowy usługi (wyczerpanie zasobów).

W pliku raw\TCP.cpp w Matter (znanym również jako connectedhomeip lub Project CHIP) przed wersją 1.4.0.0 występuje dereferencja wskaźnika NULL w funkcji TCPBase::ProcessSingleMessage, gdy pakiety TCP mają zerowy rozmiar wiadomości. Może to prowadzić do odmowy usługi.

W Matter (znanym również jako connectedhomeip lub Project CHIP) w wersji do 1.4.0.0 funkcja WriteAcl najpierw usuwa wszystkie istniejące wpisy ACL, a następnie próbuje je odtworzyć na podstawie danych wejściowych użytkownika. Jeśli walidacja danych wejściowych nie powiedzie się podczas dekodowania, proces zostaje przerwany, co prowadzi do braku przywrócenia wpisów.

Misskey to otwartoźródłowa, federacyjna platforma mediów społecznościowych. W dotkniętych wersjach FileServerService (proxy multimedialne) nie wykrywało pętli proxy, co pozwalało zdalnym atakującym na przeprowadzenie rozproszonego ataku typu denial-of-service poprzez złośliwie skonstruowaną notatkę.

W NI DAQExpress występuje podatność na deserializację niezaufanych danych, która może prowadzić do zdalnego wykonania kodu. Aby skutecznie wykorzystać tę podatność, atakujący musi skłonić użytkownika do otwarcia specjalnie przygotowanego pliku projektu. Podatność dotyczy wersji DAQExpress 5.1 i wcześniejszych.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność typu Path Traversal, która umożliwia atakującym dostęp do nieautoryzowanych ścieżek w systemie plików. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.2.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.3.

W podatności CVE-2024-56051 występuje niewłaściwa kontrola generacji kodu ('wstrzykiwanie kodu') w wtyczce wplms_plugin dla VibeThemes WPLMS, co pozwala na wstrzykiwanie kodu. Problem dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.

Wtyczka w VibeThemes WPLMS zawiera podatność typu Path Traversal, która pozwala na nieautoryzowany dostęp do plików systemowych. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.2.

Wtyczka WPLMS od VibeThemes zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji WPLMS od n/a do 1.9.9.

Wtyczka wplms_plugin w VibeThemes WPLMS zawiera podatność na wstrzyknięcie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WPLMS od n/a do poniżej 1.9.9.5.3.

W Dotstore Advance Menu Manager występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 3.1.1 włącznie. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji menedżera menu.

Keyfactor Command przed wersją 12.5.0 ma nieprawidłową kontrolę dostępu, co skutkuje nadmiernymi uprawnieniami tokenów dostępu. Wersje, które zawierają poprawki to 11.5.1.1, 11.5.2.1, 11.5.3.1, 11.5.4.5, 11.5.6.1, 11.6.0, 12.2.0.1, 12.3.0.1, 12.4.0.1, 12.5.0 oraz 24.4.0.

Podatność CVE-2024-56016 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Image Mapper w wersjach od n/a do 0.2.5.3. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2024-56010 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w urządzeniu Device Detector. Problem ten dotyczy wersji od n/a do 4.2.0.

W podatności CVE-2024-56008 wtyczka Spreadr Woocommerce posiada brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji od n/a do 1.0.4 włącznie.

W systemie YDS Support Ticket System występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji od n/a do 1.0 włącznie.

W systemie Saksh Escrow występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu od n/a do 2.4 włącznie.

W podatności CVE-2024-55983 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w PowerFormBuilder. Problem ten dotyczy wersji PowerFormBuilder od n/a do 1.0.6 włącznie.

W podatności CVE-2024-55975 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Dr Affiliate w wersjach od n/a do 1.2.3.