Katalog podatności CVE

Wtyczka WatchTowerHQ dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 3.10.1 włącznie. Problem wynika z domyślnej pustej wartości 'watchtower_ota_token' oraz braku sprawdzenia, czy wartość ta jest niepusta w funkcji 'Password_Less_Access::login'.

Wtyczka Wux Blog Editor dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'wuxbt_insertImageNew' w wersjach do 3.0.0 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Wux Blog Editor dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 3.0.0 włącznie. Problem wynika z braku walidacji tokena dostarczanego podczas autologowania przez wtyczkę, co umożliwia nieautoryzowanym atakującym zalogowanie się jako pierwszy użytkownik administratora.

Wtyczka Extensions by HocWP Team dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 0.2.3.2 włącznie. Problem wynika z braku walidacji użytkownika w akcji 'verify_email', co pozwala nieautoryzowanym atakującym na logowanie się jako dowolny istniejący użytkownik, w tym administrator.

W systemie zarządzania siecią Hanzhou Haobo w wersji 1.0 występuje podatność na wstrzykiwanie SQL, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą odpowiednio przygotowanego skryptu.

Aplikacja Money Manager EX WebApp w wersji 1.2.2 jest podatna na atak typu SQL Injection w funkcji `transaction_delete_group`. Podatność wynika z niewłaściwego oczyszczania danych wejściowych użytkownika w parametrze `TrDeleteArr`, który jest bezpośrednio włączany do zapytania SQL.

Aplikacja Money Manager EX WebApp w wersji 1.2.2 jest podatna na błędną kontrolę dostępu. Funkcja `redirect_if_not_loggedin` w pliku `functions_security.php` nie kończy wykonania skryptu po przekierowaniu nieautoryzowanych użytkowników, co umożliwia atakującym przesyłanie dowolnych plików.

W podatności typu prompt injection w chatboxie Netangular Technologies ChatNet AI w wersji v1.0, atakujący mogą uzyskać dostęp do wszystkich wcześniejszych i późniejszych danych czatu między użytkownikiem a asystentem AI poprzez odpowiednio skonstruowaną wiadomość.

W podatności CVE-2024-48144 występuje luka w zabezpieczeniach związana z wstrzykiwaniem poleceń w chatboxie Fusion Chat Chat AI Assistant w wersji 1.2.4.0. Umożliwia ona atakującym dostęp do wszystkich wcześniejszych i późniejszych danych czatu między użytkownikiem a asystentem AI poprzez odpowiednio skonstruowaną wiadomość.

Brak ograniczenia liczby żądań w komponencie walidacji OTP w Digitory Multi Channel Integrated POS v1.0 umożliwia atakującym dostęp do systemu zamówień i składanie nadmiernej liczby zamówień na jedzenie.

php-heic-to-jpg w wersji 1.0.5 i wcześniejszych jest podatny na wstrzykiwanie kodu, co zostało naprawione w wersji 1.0.6. Atakujący, który ma możliwość przesyłania obrazów heic, może wykonać kod na zdalnym serwerze poprzez nazwę pliku.

Plik APK w Cloud Smart Lock w wersji 2.0.1 zawiera wyciekły adres URL, który umożliwia wywołanie API do łączenia fizycznych urządzeń. Ta podatność pozwala atakującym na dowolne skonstruowanie żądania, aby użyć aplikacji do łączenia z nieznanymi urządzeniami poprzez znalezienie ważnego numeru seryjnego za pomocą ataku brute force.

W oprogramowaniu Neye3C w wersji 4.5.2.0 odkryto zakodowany na stałe klucz szyfrowania w mechanizmie aktualizacji oprogramowania układowego. Oznacza to, że atakujący może odczytać klucz i manipulować aktualizacjami.

Problem w obsłudze protokołów URL został rozwiązany poprzez poprawioną logikę. Problematyka ta została naprawiona w Safari 17.6, iOS 17.6, iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3 oraz watchOS 10.6.

W oprogramowaniu sprzętowym Neye3C w wersji 4.5.2.0 wykryto nieprawidłową kontrolę dostępu w procesach aktualizacji i pobierania. Atakujący może uzyskać dostęp do poufnych informacji poprzez analizę kodu i danych zawartych w pliku APK.

W podatności CVE-2024-49681 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Sessions Time Monitoring Full Automatic w wersjach od n/a do 1.0.9.

Podatność CVE-2024-49671 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w generatorze obrazów AI Postpix. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2024-49669 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji INK Official, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji INK Official od n/a do 4.1.2.

Podatność CVE-2024-49668 dotyczy wtyczki Verbalize WP, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2024-49658 dotyczy wtyczki Woocommerce Custom Profile Picture, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.