Katalog podatności CVE

Nieprawidłowa izolacja w mechanizmie pamięci podręcznej strumieni procesora Intel(R) Core(TM) Ultra może umożliwić uwierzytelnionemu użytkownikowi potencjalne podniesienie uprawnień poprzez lokalny dostęp.

Wtyczka Slider i Carousel slider od Depicter dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji uploadFile we wszystkich wersjach do i włącznie z 3.1.1. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej do poziomu 'kontrybutora' przesyłanie dowolnych plików na serwer dotkniętej witryny.

Technologia CMS firmy CAYIN ma niewłaściwą kontrolę dostępu, co pozwala nieautoryzowanym zdalnym atakującym na pobieranie dowolnych plików CGI.

Specyficzny CGI systemu CMS firmy CAYIN Technology nieprawidłowo waliduje dane wejściowe użytkownika, co pozwala zdalnemu atakującemu z uprawnieniami administratora na wstrzykiwanie poleceń systemu operacyjnego do konkretnego parametru i ich wykonywanie na zdalnym serwerze.

W Ada Web Server 20.0 odkryto problem związany z używaniem SSL. Gdy serwer jest skonfigurowany do korzystania z SSL, walidacja nazw hostów przy nawiązywaniu połączeń z zewnętrznymi usługami jest niewłaściwie przeprowadzana, co stwarza ryzyko ataków typu man-in-the-middle.

Niewystarczająca kontrola bufora pamięci w AMD Secure Processor (ASP) Secure OS może umożliwić atakującemu z złośliwą aplikacją zaufaną odczyt/zapis do przestrzeni adresowej jądra ASP Secure OS, co może prowadzić do eskalacji uprawnień.

Podatność CVE-2024-38787 dotyczy wtyczki Import and export users and customers, która umożliwia wprowadzenie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 1.26.8.

Podatność CVE-2024-38747 w bramce płatności HitPay dla WooCommerce umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji bramki płatności HitPay dla WooCommerce od n/a do 4.1.3.

W podatności CVE-2024-38724 występuje problem z Cross-Site Request Forgery (CSRF) oraz niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych, co prowadzi do możliwości ataku typu Stored XSS. Dotyczy to wtyczki Contact Form 7 Summary and Print w wersjach od n/a do 1.2.5.

W systemie portfela WP Swings dla WooCommerce występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji systemu portfela dla WooCommerce od n/a do 2.5.13.

W podatności CVE-2024-37935 w Woocommerce OpenPos występuje brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Woocommerce OpenPos od n/a do 6.4.4.

Zidentyfikowano podatność w NX (wszystkie wersje < V2406.3000), która polega na odczycie poza zakresem podczas analizowania specjalnie przygotowanych plików PRT. Może to pozwolić atakującemu na awarię aplikacji lub wykonanie kodu w kontekście bieżącego procesu.

Podatność CVE-2024-43127 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPFactory Products, Order & Customers Export dla WooCommerce, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.0.11.

Podatność CVE-2024-43126 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Sender – Newsletter, SMS i Email Marketing Automation dla WooCommerce, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.6.14.

W podatności CVE-2024-43217 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Kodex Posts likes. Problem ten dotyczy wersji od n/a do 2.5.0.