Katalog podatności CVE

Podatność związana z deserializacją niezaufanych danych w wtyczkach Echo dla bazy wiedzy dotyczącej dokumentacji i FAQ z pomocą AI. Problem ten dotyczy wersji bazy wiedzy od n/a do 11.30.2.

Podatność CVE-2024-24800 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Product Feed PRO dla WooCommerce, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 13.2.5.

W podatności CVE-2024-24700 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w WP Editor, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji WP Editor od n/a do 1.2.8.

W podatności CVE-2024-22311 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji N Squared Simply Schedule Appointments, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Simply Schedule Appointments od n/a do 1.6.6.20.

Podatność CVE-2024-22300 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Icegram Email Subscribers & Newsletters, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 5.7.11.

Podatność CVE-2024-22299 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w FV Flowplayer Video Player, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji FV Flowplayer Video Player od n/a do 7.5.41.7212.

Podatność CVE-2024-22288 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes i Shipping Labels. Problem ten dotyczy wersji od n/a do 4.4.0.

Podatność CVE-2024-22149 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CformsII, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji CformsII od n/a do 15.0.5.

Podatność CVE-2023-39306 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w ThemeFusion Fusion Builder, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Fusion Builder od n/a do 3.11.1.

W rozszerzeniu Cargo dla MediaWiki do wersji 1.39.3 odkryto problem związany z niewłaściwym przetwarzaniem znaków backtick przy funkcji smartSplit.

Zidentyfikowana podatność pozwala uwierzytelnionemu złośliwemu klientowi na wysłanie specjalnego zapytania LINQ, co umożliwia zdalne wykonanie dowolnego kodu na serwerze SCM. W przypadku narzędzi SCM, kod jest wykonywany na tym samym systemie, na którym zainstalowane jest SCMArchivedEventViewerTool.

Oprogramowanie SCM to aplikacja kliencka i serwerowa. Uwierzytelniony klient menedżera systemu może wykonać zapytanie LINQ na serwerze SCM, co pozwala na dostosowane filtrowanie. Uwierzytelniony złośliwy klient może wysłać specjalnie przygotowany kod, aby pominąć walidację i zdalnie wykonać dowolny kod (RCE) na serwerze SCM.

Występuje podatność w obsłudze plików językowych stb, która dotyczy produktów z serii RTU500. Złośliwy użytkownik może wydrukować losową zawartość pamięci w dzienniku systemowym RTU500, jeśli uprawniony użytkownik przesła specjalnie przygotowany plik językowy stb.

VSeeFace w wersji do 1.13.38.c2 pozwala atakującym na wywołanie odmowy usługi (zawieszenie aplikacji) poprzez spreparowany pakiet UDP zawierający co najmniej 10 cyfr w danych JSON.

W AutomationDirect C-MORE EA9 HMI występuje funkcja, która pozwala atakującemu na wysłanie względnej ścieżki w URL bez odpowiedniego oczyszczania treści.

Sikka SSCWindowsService w wersji 5 z dnia 2023-09-14 uruchamia program jako LocalSystem, ale pozwala na pełną kontrolę użytkownikom o niskich uprawnieniach, którzy mają dostęp do zapisu w %PROGRAMDATA%\SSCService. W rezultacie, użytkownicy o niskich uprawnieniach mogą wykonywać dowolny kod jako LocalSystem.

W punkcie dostępowym TRENDnet AC1200 Dual Band PoE Indoor Wireless Access Point TEW-821DAP w wersji 3.00b06 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent interfejsu wiersza poleceń 'mycli'.

Podatność CVE-2023-48275 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w widgetach Trustindex.Io dla recenzji Google. Problem ten występuje w wersjach widgetów od n/a do 11.0.2.

Podatność CVE-2023-39307 dotyczy wtyczki ThemeFusion Avada, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach Avada od n/a do 7.11.1.

Podatność CVE-2023-28687 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w motywach Glaze Blog Lite, Fascinate, Cream Blog oraz Cream Magazine. Problemy te występują w określonych wersjach tych motywów.