Katalog podatności CVE

W podatności CVE-2023-25714 występuje brak autoryzacji w systemie Fullworks Quick Paypal Payments, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Quick Paypal Payments od n/a do 5.7.25.

W Ebook Store firmy Shopfiles Ltd występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji Ebook Store od n/a do 5.775.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanym użytkownikom z dostępem do sieci na wykonywanie zdalnych poleceń. Może to prowadzić do poważnych szkód w dostępności, a także zagrożeń dla integralności i poufności danych.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanemu użytkownikowi z dostępem do sieci na tworzenie obiektów połączeń, co może prowadzić do wykonania dowolnych plików EXE. Problem ten został naprawiony w kilku aktualizacjach i łatkach.

Wtyczka Gallery dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 1.3 włącznie, poprzez deserializację niezaufanego wejścia z parametru wd_gallery_$id. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie obiektu PHP.

Wtyczka Beautiful taxonomy filters dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'selects[0][term]' we wszystkich wersjach do i włącznie z 2.4.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka FileOrganizer – Manage WordPress and Website Files dla WordPress jest podatna na lokalne włączenie plików JavaScript we wszystkich wersjach do 1.1.4 włącznie, poprzez parametr 'default_lang'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej włączenie i wykonanie dowolnych plików JavaScript na serwerze.

NVIDIA UFM Enterprise, UFM Appliance i UFM CyberAI zawierają podatność, która pozwala atakującemu na spowodowanie problemu z nieprawidłową autoryzacją poprzez wysłanie źle sformułowanego żądania przez interfejs zarządzania Ethernet. Udane wykorzystanie tej podatności może prowadzić do eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

W urządzeniu Ubiquiti U7-Pro w wersji 7.0.35 odkryto podatność na twardo zakodowane hasło w pliku /etc/shadow, co umożliwia atakującym logowanie się jako root. Producent kwestionuje tę informację, twierdząc, że urządzenie wymaga ustawienia nowego hasła podczas instalacji.

W wersji Python 3.12.0 i nowszych metoda asyncio._SelectorSocketTransport.writelines() nie wstrzymuje pisania i nie sygnalizuje protokołowi, aby opróżnił bufor, gdy osiągnie on 'wysoki poziom wody'. Może to prowadzić do wyczerpania pamięci, ponieważ protokoły nie opróżniają okresowo bufora zapisu.

Wtyczka ARForms dla WordPressa zawiera podatność na path traversal, umożliwiającą atakującemu odczyt plików poza katalogiem głównym aplikacji. Problem dotyczy wersji przed 7.0.2.

Podatność CVE-2024-54209 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPFactory Awesome Shortcodes, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.7.2 włącznie.

Podatność CVE-2024-54208 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bloku Block Controller. Problem ten dotyczy wersji Block Controller od n/a do 1.4.3 włącznie.

W podatności CVE-2024-54205 występuje problem Cross-Site Request Forgery (CSRF) w Paloma Widget postman-widget, który umożliwia ataki CSRF. Dotyczy to wersji Paloma Widget od n/a do 1.14 włącznie.

Podatność CVE-2024-53824 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce All Bootstrap Blocks w wersjach od n/a do 1.3.19. Może to umożliwić atakującym wczytanie złośliwego kodu z lokalnych plików.

Podatność CVE-2024-53821 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Genetech Pie Register Premium, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Pie Register Premium przed 3.8.3.3.

W podatności CVE-2024-53817 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Product Labels For Woocommerce w wersjach od n/a do 1.5.8.

W systemie rezerwacji DOTonPAPER Pinpoint Booking System występuje podatność na SQL Injection, która umożliwia przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji systemu od n/a do 2.9.9.5.1.

Podatność CVE-2024-53812 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP GeoNames, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.8 włącznie.

W podatności CVE-2024-53808 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Basix NEX-Forms. Problem ten dotyczy wersji NEX-Forms od n/a do 8.7.8 włącznie.