Katalog podatności CVE

W podatności CVE-2024-51632 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Sam Hoe SH Slideshow, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji SH Slideshow od n/a do 4.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Sticky Social Bar, która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji wtyczki od n/a do 2.0 włącznie.

W podatności CVE-2024-50534 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji World Prayer Time, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji aplikacji od n/a do 2.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Domain Sharding autorstwa Davida Garcii umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Domain Sharding od n/a do 1.2.1 włącznie.

W podatności CVE-2024-50532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Events Manager Pro – extended w wersjach od n/a do 0.1.

W podatności CVE-2024-50522 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WeChat Subscribers Lite w wersjach od n/a do 1.6.6.

Podatność CVE-2024-50519 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Jigoshop – Store Exporter w wersjach od n/a do 1.5.8. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność w pakiecie Incoming Goods Suite umożliwia użytkownikowi z nieuprzywilejowanym dostępem do systemu (np. lokalnie lub przez SSH) eskalację uprawnień do poziomu administracyjnego z powodu użycia obrazów kontenerów Docker działających z uprawnieniami roota. Wykorzystanie tej błędnej konfiguracji pozwala atakującemu na uzyskanie administracyjnej kontroli nad całym systemem.

W procedurze odczytu plików X_B i SAT w eDrawings, dostępnej w wersjach SOLIDWORKS 2024 i 2025, występują podatności związane z przepełnieniem bufora w pamięci oraz niezainicjowaną zmienną. Te podatności mogą umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku X_B lub SAT.

Wtyczka Classified Listing – Classified ads & Business Directory dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z błędnej konfiguracji funkcji 'rtcl_import_settings' we wszystkich wersjach do 3.1.15.1 włącznie.

Podatność związana z niewłaściwą walidacją określonego typu wejścia w produktach Mitsubishi Electric Corporation MELSEC iQ-F Series FX5-ENET w wersjach 1.100 do 1.200 oraz FX5-ENET/IP w wersjach 1.100 do 1.104 pozwala zdalnemu atakującemu na spowodowanie stanu Denial of Service w komunikacji Ethernet poprzez wysyłanie specjalnie przygotowanych pakietów SLMP.

Wersje pakietu @eslint/plugin-kit przed 0.2.3 są podatne na atak typu Regular Expression Denial of Service (ReDoS) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może zwiększyć zużycie CPU i spowodować awarię programu, wykorzystując tę podatność.

W jądrze Linux w systemie plików btrfs podczas aktualizacji opóźnionej referencji lista referencji nie jest ponownie inicjalizowana po usunięciu jej elementu, co może prowadzić do nieprawidłowego dostępu do pamięci i awarii systemu.

Harden-Runner od StepSecurity, używany do filtrowania ruchu sieciowego i zabezpieczeń w czasie rzeczywistym dla runnerów hostowanych na GitHubie oraz samodzielnych, zawiera wiele słabości związanych z wstrzykiwaniem poleceń w wersjach przed v2.10.2. Wersja 2.10.2 zawiera poprawkę eliminującą te podatności.

W podatności CVE-2024-52418 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Gameplan od n/a do 1.5.10 włącznie.

Podatność typu Cross-site Scripting (XSS) w wtyczce BoldThemes ReConstruction pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji ReConstruction od n/a do 1.4.7 włącznie.

Repozytorium WesHacks na GitHubie udostępnia oficjalny kod źródłowy strony konkursowej Hackathonu Muweilah Wesgreen. Strona `schedule.html` przed 17 listopada 2024 roku zawierała linki do `Leostop`, strony hostującej złośliwy plik JavaScript, który był uruchamiany podczas działania bootstrap oraz jQuery.

W podatności o nazwie Insecure Permissions w Micro-star International MSI Center Pro 2.1.37.0, lokalny atakujący może wykonać dowolny kod poprzez plik Device_DeviceID.dat.bak znajdujący się w folderze C:\ProgramData\MSI\One Dragon Center\Data.

W usłudze wssrvc.exe programu QuickHeal Antivirus Pro w wersji v24.0 oraz Quick Heal Total Security w wersji v24.0 występuje problem, który pozwala uwierzytelnionym atakującym na eskalację uprawnień.