Katalog podatności CVE

W podatności CVE-2024-52451 występuje atak typu Cross-Site Request Forgery (CSRF) w aplikacji Post Ideas, który umożliwia wykonanie ataku SQL Injection. Problem ten dotyczy wersji Post Ideas od n/a do 2 włącznie.

W podatności CVE-2024-52450 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji nBlocks od n/a do 1.0.2.

W podatności CVE-2024-52449 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w Bootscraperze Navneil Naicer. Problem ten dotyczy wersji Bootscrapera od n/a do 2.1.0.

W podatności CVE-2024-52448 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w wtyczce Ultimate Classified Listings w wersjach od n/a do 1.7. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych plików na serwerze.

Podatność typu Path Traversal w aplikacji Contact Page With Google Map umożliwia atakującym dostęp do nieautoryzowanych plików na serwerze. Problem ten dotyczy wersji od n/a do 1.6.1.

W podatności CVE-2024-52446 występuje problem Cross-Site Request Forgery (CSRF) w systemie Buying Buddy IDX CRM, który umożliwia wstrzykiwanie obiektów. Dotyczy to wersji od n/a do 1.2.8 włącznie.

Podatność na deserializację niezaufanych danych w ModelTheme QRMenu Restaurant QR Menu Lite (wersje od n/a do 1.0.4) umożliwia wstrzyknięcie obiektów. Problem ten dotyczy aplikacji QRMenu Restaurant QR Menu Lite.

Podatność typu 'Path Traversal' w wtyczce Opal Woo Custom Product Variation pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem dotyczy wersji wtyczki od n/a do 1.1.3.

W podatności CVE-2024-52438 występuje brak uwierzytelnienia dla krytycznej funkcji w de:branding, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji de:branding od n/a do 1.0.2 włącznie.

W systemie Banner autorstwa Saula Moralesa Pacheco występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji systemu Banner od n/a do 1.0.0 włącznie.

W firmware Rakuten Turbo 5G w wersji V1.3.18 i wcześniejszych występuje problem z niewłaściwym neutralizowaniem specjalnych elementów używanych w poleceniach systemu operacyjnego ('OS Command Injection'). W przypadku wykorzystania tej podatności, zdalny uwierzytelniony atakujący może wykonać dowolne polecenie systemowe.

W jądrze Linux w sterowniku media dvbdev istnieje ryzyko dostępu do pamięci poza zakresem. Brak jawnych sprawdzeń granic w funkcjach dvb_register_device() i dvb_device_open() może prowadzić do problemów z pamięcią, szczególnie gdy konfiguracja nie używa dynamicznych minorów.

W jądrze Linuxa w sterowniku s5p-jpeg (dla sprzętowego kodera JPEG) brakowało odpowiednich sprawdzeń, co mogło prowadzić do przepełnienia bufora (buffer overflow), gdy wartość 'word' była mniejsza niż 2. Poprawka dodaje dodatkowe sprawdzenia, aby temu zapobiec.

W jądrze Linuxa zidentyfikowano podatność w module iwlwifi, która dotyczy obsługi odpowiedzi w funkcji iwl_mvm_send_recovery_cmd(). Problem polega na braku walidacji rozmiaru pakietu odpowiedzi oraz na tym, że bufor odpowiedzi nie jest zwalniany.

W jądrze systemu Linux zidentyfikowano podatność w funkcji qdisc_tree_reduce_backlog, która może prowadzić do użycia wskaźnika po zwolnieniu (UAF) w przypadku nieprawidłowego założenia dotyczącego qdisc z głównym uchwytem ffff:. Problem ten został rozwiązany w aktualizacji.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce wp-buy WP Popup Window Maker easy-popup-lightbox-maker umożliwia wykonanie ataku typu Stored XSS. Problem dotyczy wersji WP Popup Window Maker od n/a do 2.0 włącznie.

W podatności CVE-2024-52388 występuje problem Cross-Site Request Forgery (CSRF) w bibliotece hebrewdates, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji hebrewdates od n/a do 2.1.0.

Wtyczka Woopy Plugins SmartLink Dynamic URLs w wersjach od n/a do 1.1.0 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności smartlink-dinamic-urls.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce litefeel Flash Show And Hide Box umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6 włącznie.