Katalog podatności CVE

W podatności CVE-2024-52424 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce wp-login customizer, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.0 włącznie.

Wiele produktów Cisco jest podatnych na lukę w dekoderze ramek Ethernet w silniku detekcji Snort, która może pozwolić nieautoryzowanemu, sąsiedniemu atakującemu na spowodowanie stanu odmowy usługi (DoS). Luka ta wynika z niewłaściwego przetwarzania warunków błędów podczas obsługi ramek Ethernet.

W podatności CVE-2024-52436 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Post SMTP autorstwa Saada Iqbala. Problem dotyczy wersji Post SMTP od n/a do 2.9.9 włącznie.

W podatności CVE-2024-52435 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 6.0.5 włącznie.

W podatności CVE-2024-52428 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Ads Booster by Ads Pro w wersjach od n/a do 1.12.

W platformie RSA NetWitness (NW) przed wersją 12.5.1, nawet po odebraniu dostępu konkretnego użytkownika z aktywną sesją przez administratora, wewnętrzny aktor zagrożenia mógł podszyć się pod tego użytkownika i uzyskać nieautoryzowany dostęp do wrażliwych danych.

W systemie AbsysNet w wersji 2.3.1 odkryto podatność typu IDOR (Insecure Direct Object Reference). Umożliwia ona zdalnemu atakującemu uzyskanie sesji nieautoryzowanego użytkownika poprzez atak brute-force na identyfikator sesji w punkcie końcowym '/cgi-bin/ocap/'.

W podatności CVE-2024-3370 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w szablonie strony internetowej Egebilgi Software. Problem dotyczy szablonu strony internetowej przed datą 29.04.2024.

Podatność użycia wskaźnika poza zakresem w Cesanta Mongoose Web Server v7.14. Atakujący może wysłać nieoczekiwany pakiet TLS, powodując błąd segmentacji aplikacji.

Podatność przepełnienia liczby całkowitej w Cesanta Mongoose Web Server v7.14. Atakujący może wysłać nieoczekiwany pakiet TLS, powodując błąd segmentacji aplikacji.

Atakujący z niskimi uprawnieniami zdalnie może modyfikować właściwości usługi BACNet z powodu nieprawidłowego przypisania uprawnień do krytycznych zasobów, co może prowadzić do ataku typu DoS ograniczonego do komunikacji BACNet.

Atakujący z niskimi uprawnieniami zdalnie może określić dowolny plik w systemie plików, co może prowadzić do zapisu dowolnych plików z uprawnieniami roota.

Atakujący z niskimi uprawnieniami zdalnie może nadpisać dowolny plik w systemie plików, co prowadzi do awarii usługi (DoS) oraz utraty danych.

Podatność CVE-2024-41969 pozwala atakującemu z niskimi uprawnieniami zdalnie modyfikować konfigurację usługi CODESYS V3 z powodu braku odpowiedniej autoryzacji. Może to prowadzić do pełnego dostępu do systemu oraz/lub ataku typu DoS.

Atakujący z niskimi uprawnieniami zdalnie może zmodyfikować konfigurację trybu rozruchu urządzenia, co prowadzi do zmiany procesu aktualizacji oprogramowania układowego lub ataku typu denial-of-service.

W LemonLDAP::NG przed wersją 2.20.1 odkryto problem związany z nieprawidłowym sprawdzaniem podczas odświeżania sesji. Umożliwia to uwierzytelnionemu użytkownikowi podniesienie swojego poziomu uwierzytelnienia, jeśli administrator skonfigurował regułę 'Adaptacyjnego uwierzytelnienia' z przyrostem zamiast wartości bezwzględnej.

AnyDesk w wersji do 8.1.0 na systemie Windows, gdy włączona jest opcja 'Zezwól na bezpośrednie połączenia', niezamierzenie ujawnia publiczny adres IP w ruchu sieciowym. Atakujący musi znać identyfikator AnyDesk ofiary.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co pozwala na dostęp do buforów graficznych procesu nadrzędnego.

W kube-controller-manager znaleziono lukę, która występuje, gdy początkowa aplikacja konfiguracji HPA w formacie YAML nie zawiera bloku .spec.behavior.scaleUp. Powoduje to odmowę usługi z powodu ciągłego restartowania podów KCM.