Katalog podatności CVE

Problem w integracji Lens Visual z Power BI w wersji 4.0.0.3 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pośrednictwem komponentu przetwarzania języka naturalnego.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Sukces w wykorzystaniu tej podatności umożliwia wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

Podatność na wstrzykiwanie poleceń w usłudze CLI może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia poprzez wysyłanie specjalnie przygotowanych pakietów do portu UDP PAPI (protokół zarządzania punktami dostępowymi Aruba). Skuteczne wykorzystanie tej podatności pozwala na wykonanie dowolnego kodu jako użytkownik z uprawnieniami na systemie operacyjnym.

W HAPI FHIR przed wersją 6.4.0 występuje podatność typu XML External Entity (XXE), która pozwala atakującym na dostęp do wrażliwych informacji lub wykonanie dowolnego kodu poprzez dostarczenie spreparowanego żądania zawierającego złośliwe encje XML.

Podatność CVE-2024-50531 dotyczy RSVPMaker for Toastmasters, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten występuje w wersjach od n/a do 6.2.4.

Podatność CVE-2024-50530 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Stars SMTP Mailer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Stars SMTP Mailer od n/a do 2.2.1 włącznie.

Podatność CVE-2024-50529 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji rudrainn Training – Courses, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Training – Courses od n/a do 2.0.1 włącznie.

Podatność CVE-2024-50527 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Stacks Mobile App Builder, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3.

Podatność CVE-2024-50526 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-50525 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Helloprint, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Helloprint od n/a do 2.0.4 włącznie.

Podatność CVE-2024-50523 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w formularzu kontaktowym All Post Contact Form, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.8.2 włącznie.

W podatności CVE-2024-10035 w systemie CoslatV3 firmy BG-TEK Informatics Security Technologies występuje problem z niewłaściwą kontrolą generowania kodu, co prowadzi do możliwości wstrzyknięcia poleceń oraz eskalacji uprawnień. Dotyczy to wersji do 3.1069.

W podatności CVE-2024-51661 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń (OS Command Injection) w aplikacji Media Library Assistant w wersjach od n/a do 3.19 włącznie.

W systemie Beauty Parlour Management System v1.1 od Phpgurukul wykryto podatność na wstrzykiwanie SQL w pliku admin/index.php poprzez parametr username. Atakujący może przesłać złośliwe zapytanie SQL, co pozwala na nieautoryzowany dostęp do bazy danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL przez parametr 'tid' w skrypcie admin/queries.php. Atakujący może wykorzystać tę lukę do wykonania dowolnych zapytań SQL na bazie danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL w pliku add-teacher.php poprzez parametry numeru telefonu lub adresu e-mail. Atakujący może manipulować tymi parametrami, aby wykonać nieautoryzowane zapytania do bazy danych.

W systemie rekrutacji online Projectworlds w wersji 1 wykryto podatność na wstrzykiwanie SQL w pliku index.php poprzez parametr 'a_id'. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.

Glossarizer w wersji 1.5.2 niewłaściwie próbuje konwertować tekst na HTML. Mimo że aplikacja sama ucieka od specjalnych znaków (np. <>), używana biblioteka konwertuje te zakodowane znaki na prawidłowy HTML, co może prowadzić do przechowywanego XSS.

ZoneMinder to darmowa, otwartoźródłowa aplikacja do monitoringu wideo. W wersjach ZoneMinder v1.37.* do 1.37.64 występuje podatność na atak typu SQL Injection oparty na logice w funkcji web/ajax/event.php, która została naprawiona w wersji 1.37.65.

Podatność typu Cross-Site Request Forgery (CSRF) w EKC Tournament Manager umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji EKC Tournament Manager od n/a do 2.2.1 włącznie.