Katalog podatności CVE

Podatność CVE-2023-6091 dotyczy edytora motywów w wersjach od n/a do 2.7.1, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Może to prowadzić do złośliwego wykorzystania systemu przez atakujących.

Podatność CVE-2023-27459 dotyczy deserializacji niezaufanych danych w module rejestracji użytkowników WPEverest. Problem ten występuje w wersjach od n/a do 2.3.2.1.

Podatność CVE-2023-27440 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki OnTheGoSystems Types, która wpływa na wersje od n/a do 3.4.17. Umożliwia to atakującym przesyłanie złośliwych plików na serwer.

Podatność CVE-2023-44989 dotyczy wtyczki GSheetConnector CF7 Google Sheets Connector, która umożliwia wstawienie wrażliwych informacji do pliku dziennika. Problem ten występuje w wersjach od n/a do 5.0.5.

Wersje klienta zdalnego TeamViewer przed wersją 15.52 dla macOS mają lukę w zabezpieczeniach związaną z niebezpiecznym śledzeniem dowiązań symbolicznych (symlink). Atakujący z nieuprzywilejowanym dostępem może potencjalnie podnieść swoje uprawnienia lub przeprowadzić atak typu denial-of-service poprzez nadpisanie dowiązania symbolicznego.

Usługa TELNET w urządzeniach AdTran NetVanta 3120 w wersji 18.01.01.00.E jest domyślnie włączona i posiada domyślne dane logowania dla konta na poziomie root.

EasyRange w wersji 1.41 zawiera problem z ścieżką wyszukiwania plików wykonywalnych podczas wyświetlania wyodrębnionego pliku w Eksploratorze. Może to prowadzić do załadowania pliku wykonywalnego znajdującego się w tym samym folderze, w którym umieszczono wyodrębniony plik.

W wersjach 1.7.8 i 1.7.9 WebProxy występuje podatność na wstrzykiwanie poleceń systemowych, która może umożliwić zdalnemu, nieautoryzowanemu atakującemu wykonanie dowolnego polecenia systemowego z uprawnieniami działającego serwera WWW. Deweloper nie był dostępny, co sugeruje konieczność zaprzestania korzystania z tych wersji.

Podatność CVE-2023-45771 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w formularzu kontaktowym z Captcha. Problem ten dotyczy wersji formularza kontaktowego z Captcha od n/a do 1.6.8.

Podatność CVE-2023-33322 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Etoile Web Design, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy użytkowników front-end od wersji wcześniejszej niż 3.2.25.

Podatność CVE-2023-23991 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w wtyczce Booking Calendar od WPdevelop / Oplugins, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji Booking Calendar od n/a do 9.4.3.

Podatność typu Cross-site Scripting (XSS) w motywach KlbTheme Cosmetsy, Partdo, Bacola, Medibazar, Furnob i Clotya pozwala na nieprawidłową neutralizację danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do określonych wersji dla każdego z wymienionych motywów.

Wtyczka Check & Log Email dla WordPressa jest podatna na wstrzykiwanie hooków bez uwierzytelnienia we wszystkich wersjach do i włącznie z 1.0.9 za pośrednictwem funkcji check_nonce. Umożliwia to nieautoryzowanym atakującym wykonywanie akcji z użyciem hooków w WordPressie w określonych okolicznościach.

Wykorzystując tę podatność, użytkownicy z niższymi uprawnieniami w Content Manager mogą manipulować klientami Content Manager, aby podnieść swoje uprawnienia i wykonywać nieautoryzowane operacje.

W interfejsie diagnostycznym Bosch Network Synchronizer występuje podatność na wstrzykiwanie poleceń, która umożliwia nieautoryzowanym użytkownikom pełny dostęp do urządzenia.

Podatność typu 'Cross-site Scripting' (XSS) w wtyczce Youzify - Buddypress Moderation, która występuje w wersjach od n/a do 1.2.5. Problem polega na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

W jądrze Linux w NFSv4 naprawiono dereferencję wskaźnika NULL w funkcji pnfs_mark_matching_lsegs_return(). Funkcja ta nie sprawdzała, czy argument struct pnfs_layout_range ma wartość, zanim go dereferencjonowała, co powodowało awarię (oops).

W jądrze Linux w sterowniku DSA mt7530 występuje podatność powodująca wyciek ruchu VLAN. Pole PCR_MATRIX nie jest resetowane po wyłączeniu filtrowania VLAN, co może prowadzić do niepożądanego przekazywania ruchu między mostami.

Podatność CVE-2024-24899 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemowych w aops-zeus na systemie Linux, co umożliwia wstrzyknięcie poleceń. Problem ten występuje w wersjach aops-zeus od 1.2.0 do 1.4.0.

Podatność CVE-2024-24897 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach, co prowadzi do możliwości wykonania ataku typu Command Injection w A-Tune-Collector na systemie Linux. Problem ten występuje w wersjach od 1.1.0-3 do 1.3.0.