Katalog podatności CVE

Podatność CVE-2024-33554 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w 8theme XStore Core, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji XStore Core od n/a do 5.3.5.

W podatności CVE-2024-33548 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w WZone, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WZone od n/a do 14.0.10.

W bibliotece KDE libksieve przed wersją 23.03.80, plik kmanagesieve/session.cpp umieszcza hasło w postaci niezaszyfrowanej w logach serwera, ponieważ zmienna przechowująca nazwę użytkownika przypadkowo otrzymuje wartość hasła.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Toast Plugins Sticky Anything umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji Sticky Anything od n/a do 2.1.5.

Podatność CVE-2024-33645 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Easy Set Favicon, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.1.

W podatności CVE-2024-33633 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Piotnet Addons For Elementor Pro. Problem ten dotyczy wersji od n/a do 7.1.17.

N-Reporter i N-Cloud, produkty N-Partner, mają podatność na wstrzykiwanie poleceń systemowych. Zdalni atakujący z normalnymi uprawnieniami użytkownika mogą wykonywać dowolne polecenia systemowe, manipulując danymi wejściowymi na określonej stronie.

W jądrze Linux w podsystemie SLUB poprawiono wywołania flush_cpu_slab() i __free_slab() w kontekście zadania. Problem dotyczył sytuacji, gdy funkcja flush_all_cpu_locked() wywoływana z kontekstu zadania mogła powodować zależność w pracy globalnej kolejki, gdy kolejka z bitem WQ_MEM_RECLAIM czyściła globalną kolejkę.

Nieprawidłowe klasy poleceń S2 Nonce Get mogą być wysyłane w celu awarii bramy. Wymagana jest twarda resetacja, aby przywrócić bramę do działania.

Wady w klasach poleceń Device Reset Locally mogą być wykorzystane do tymczasowego zablokowania usługi dla urządzenia końcowego. W tym czasie żadne ramki wysyłane przez urządzenie końcowe nie będą potwierdzane przez bramę.

MCUboot to bezpieczny program rozruchowy dla 32-bitowych mikrokontrolerów. Wykorzystuje strukturę TLV (tag-length-value) do reprezentacji metadanych związanych z obrazem, jednak nie rozróżnia, które wpisy TLV powinny być chronione, co umożliwia atakującym dodawanie niechronionych wpisów, które powinny być chronione.

W systemie zarządzania ubezpieczeniami w wersji 1.0.0 i wcześniejszych występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez spreparowane żądanie POST do /admin/core/new_staff.

Router Asus RT-N12+ B1 przechowuje hasła użytkowników w postaci jawnego tekstu, co może umożliwić lokalnym atakującym uzyskanie nieautoryzowanego dostępu i modyfikację ustawień routera.

Wtyczka WP SMTP dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'search' w wersjach od 1.2 do 1.2.6. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Zespół ENVY odkrył lukę, która umożliwia zdalne wykonanie kodu na kamerze. Atakujący może wstrzyknąć złośliwy kod do pakietów żądań HTTP, co pozwala na wykonanie dowolnego kodu.

Wykryto lukę w oprogramowaniu układowym DVR, polegającą na niewłaściwej logice szyfrowania, co umożliwia odszyfrowanie danych. Producent wydał poprawkę, która rozwiązuje ten problem.

Wykryto lukę, która umożliwia zdalne wykonanie kodu na DVR. Atakujący może wstrzykiwać złośliwe nagłówki HTTP do pakietów żądań, co pozwala na wykonanie dowolnego kodu.

Wersje M-Files Server przed 24.4.13592.4 oraz po 23.11 (z wyjątkiem 24.2 LTS) mają podatność na atak typu denial of service, który pozwala nieautoryzowanemu użytkownikowi na zużycie zasobów obliczeniowych.

W cri-o znaleziono lukę, która pozwala na wstrzyknięcie dowolnej właściwości systemd za pomocą adnotacji Pod. Użytkownik, który może utworzyć pod z dowolną adnotacją, może wykonać dowolną akcję na systemie gospodarza.

Brama IIoT Skylab IGX II umożliwiała użytkownikom połączenie za pomocą ograniczonego terminala powłoki (IGX). Odkryto jednak, że proces działał z uprawnieniami roota, co pozwalało atakującemu na odczyt, zapis i modyfikację dowolnych plików w systemie operacyjnym.