Katalog podatności CVE

W podatności CVE-2024-50491 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji MicahBlu RSVP ME w wersjach od n/a do 1.9.9.

W podatności CVE-2024-50483 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji Meetup autorstwa Tareq Hasana, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Meetup od n/a do 0.1 włącznie.

W podatności CVE-2024-50479 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Woocommerce Quote Calculator w wersjach od n/a do 1.1.

Podatność CVE-2024-50478 dotyczy mechanizmu logowania bez hasła w Swoop 1-Click Login w wersji 1.4.5, który umożliwia obejście uwierzytelnienia. Wykorzystanie tej luki pozwala na dostęp do systemu bez konieczności podawania prawidłowych danych logowania.

W podatności CVE-2024-50498 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w wtyczce WP Query Console w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanego kodu.

Podatność CVE-2024-50489 dotyczy oprogramowania Realty Workstation, które umożliwia obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten występuje w wersjach od n/a do 1.0.45.

W podatności CVE-2024-50487 występuje możliwość ominięcia uwierzytelnienia w API MaanStore, co pozwala na dostęp do systemu bez poprawnej autoryzacji. Problem dotyczy wersji API MaanStore od n/a do 1.0.1 włącznie.

W podatności CVE-2024-50486 występuje możliwość ominięcia uwierzytelnienia w API Acnoo Flutter, co pozwala na dostęp do systemu bez poprawnej autoryzacji. Problem dotyczy wersji API od n/a do 1.0.5 włącznie.

W aplikacji Stacks Mobile App Builder występuje podatność na obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3 włącznie.

Aplikacje Spring WebFlux z regułami autoryzacji Spring Security na zasobach statycznych mogą być omijane w określonych okolicznościach. Aby podatność miała wpływ na aplikację, muszą być spełnione trzy warunki: musi to być aplikacja WebFlux, musi korzystać z obsługi zasobów statycznych Springa oraz musi mieć zastosowaną regułę autoryzacji, która nie zezwala na dostęp dla wszystkich.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 3.0.7. Problem wynika z niewystarczającej weryfikacji użytkownika zwracanego przez token logowania społecznościowego.

Wtyczka WatchTowerHQ dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 3.10.1 włącznie. Problem wynika z domyślnej pustej wartości 'watchtower_ota_token' oraz braku sprawdzenia, czy wartość ta jest niepusta w funkcji 'Password_Less_Access::login'.

Wtyczka Wux Blog Editor dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'wuxbt_insertImageNew' w wersjach do 3.0.0 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Wux Blog Editor dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 3.0.0 włącznie. Problem wynika z braku walidacji tokena dostarczanego podczas autologowania przez wtyczkę, co umożliwia nieautoryzowanym atakującym zalogowanie się jako pierwszy użytkownik administratora.

Wtyczka Extensions by HocWP Team dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 0.2.3.2 włącznie. Problem wynika z braku walidacji użytkownika w akcji 'verify_email', co pozwala nieautoryzowanym atakującym na logowanie się jako dowolny istniejący użytkownik, w tym administrator.

W systemie zarządzania siecią Hanzhou Haobo w wersji 1.0 występuje podatność na wstrzykiwanie SQL, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą odpowiednio przygotowanego skryptu.

Aplikacja Money Manager EX WebApp w wersji 1.2.2 jest podatna na atak typu SQL Injection w funkcji `transaction_delete_group`. Podatność wynika z niewłaściwego oczyszczania danych wejściowych użytkownika w parametrze `TrDeleteArr`, który jest bezpośrednio włączany do zapytania SQL.

Aplikacja Money Manager EX WebApp w wersji 1.2.2 jest podatna na błędną kontrolę dostępu. Funkcja `redirect_if_not_loggedin` w pliku `functions_security.php` nie kończy wykonania skryptu po przekierowaniu nieautoryzowanych użytkowników, co umożliwia atakującym przesyłanie dowolnych plików.

W podatności typu prompt injection w chatboxie Netangular Technologies ChatNet AI w wersji v1.0, atakujący mogą uzyskać dostęp do wszystkich wcześniejszych i późniejszych danych czatu między użytkownikiem a asystentem AI poprzez odpowiednio skonstruowaną wiadomość.

W podatności CVE-2024-48144 występuje luka w zabezpieczeniach związana z wstrzykiwaniem poleceń w chatboxie Fusion Chat Chat AI Assistant w wersji 1.2.4.0. Umożliwia ona atakującym dostęp do wszystkich wcześniejszych i późniejszych danych czatu między użytkownikiem a asystentem AI poprzez odpowiednio skonstruowaną wiadomość.