Katalog podatności CVE

Aplikacja TP-Link Tapo APK do wersji 2.12.703 zawiera zakodowane na stałe dane uwierzytelniające do panelu logowania. Oznacza to, że każdy, kto zna te dane, może uzyskać nieautoryzowany dostęp do aplikacji.

Podatność CVE-2023-52201 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia kodu SQL w pTypeConverter w wersjach od n/a do 0.2.8.1.

Podatność CVE-2023-52196 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CPT Bootstrap Carousel, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.12.

Podatność CVE-2023-52142 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Cool Plugins Events Shortcodes dla The Events Calendar. Problem ten dotyczy wersji wtyczki od n/a do 2.3.1.

Podatność CVE-2023-52213 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w VideoWhisper Rate Star Review – AJAX Reviews for Content, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.5.1.

Podatność CVE-2023-52206 dotyczy deserializacji niezaufanych danych w Page Builder: Live Composer w wersjach od n/a do 1.5.25. Może to prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu.

Podatność CVE-2023-52204 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia kodu SQL w Javik Randomize. Problem ten dotyczy wersji Randomize od n/a do 1.4.3.

pyLoad 0.5.0 zawiera podatność na nieograniczone przesyłanie plików, co pozwala atakującemu na wgranie dowolnych plików na serwer bez odpowiedniej walidacji.

Podatność CVE-2023-52190 dotyczy programu poleceń kuponów WP Swings, który naraża wrażliwe informacje na dostęp nieautoryzowanych osób. Problem ten występuje w wersjach od n/a do 1.7.2.

W podatności CVE-2024-21747 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w weDevs WP ERP. Problem dotyczy wersji od n/a do 1.12.8.

W systemie zamówień online CodeAstro w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /admin/ komponentu Panelu Administracyjnego, gdzie manipulacja argumentem Username prowadzi do wstrzykiwania SQL.

Podatność CVE-2023-52143 dotyczy wtyczki WP Stripe Checkout, która naraża wrażliwe informacje na dostęp nieautoryzowanych osób. Problem ten występuje w wersjach od n/a do 1.2.2.37.

W podatności CVE-2023-52150 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce Dynamic Content for Elementor od Ovation S.R.L. Problem dotyczy wersji przed 2.12.5.

W podatności CVE-2023-51502 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w WooCommerce Stripe Payment Gateway. Problem ten dotyczy wersji WooCommerce Stripe Payment Gateway od n/a do 7.6.1.

Podatność typu path traversal w usłudze plików statycznych w Iodine w wersjach przed 0.7.33 umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt plików poza folderem publicznym poprzez złośliwe adresy URL.

Podatność w bibliotece encoded_id-rails przed wersją 1.0.0.beta2 pozwala na niekontrolowane zużycie zasobów. Zdalny, nieuwierzytelniony atakujący może spowodować odmowę usługi (DoS) poprzez wysłanie żądania HTTP z bardzo długim parametrem "id".

W jądrze Linuxa znaleziono błąd w sterowniku ATA over Ethernet (AoE). Funkcja aoecmd_cfg_pkts() niewłaściwie aktualizuje licznik referencji w `struct net_device`, co może prowadzić do sytuacji use-after-free w wyniku wyścigu między zwolnieniem struktury a dostępem przez globalną kolejkę `skbtxq`.

Biblioteka PeterO.Cbor w wersjach od 4.0.0 do 4.5.0 zawiera podatność na atak typu odmowa usługi (DoS). Atakujący może wywołać ten stan poprzez dostarczenie spreparowanych danych do metody DecodeFromBytes lub innych mechanizmów dekodowania.

Podatność w bibliotece Newtonsoft.Json przed wersją 13.0.1 polega na nieprawidłowym obsługiwaniu wyjątkowych warunków. Specjalnie spreparowane dane przekazane do metody JsonConvert.DeserializeObject mogą wywołać wyjątek StackOverflow, prowadzący do odmowy usługi.