Katalog podatności CVE

Podatność CVE-2024-53790 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w systemie Lenxel Core dla LMS Lenxel (LNX). Problem ten występuje w wersjach od n/a do 1.3.9 włącznie.

Brak autoryzacji w wtyczce SeventhQueen Sweet Date umożliwia eskalację uprawnień. Problem ten dotyczy wersji Sweet Date od n/a do 3.7.3 włącznie.

Wielowarstwowa podatność związana z brakiem autoryzacji w MultiVendorX dc-woocommerce-multi-vendor umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji MultiVendorX od n/a do 4.0.23.

W podatności CVE-2023-49856 występuje brak autoryzacji w aplikacji EDGARROJAS Smart Forms, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji Smart Forms od n/a do 2.6.84 włącznie.

W podatności CVE-2023-49831 występuje brak autoryzacji w wtyczce Metagauss RegistrationMagic, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji RegistrationMagic od n/a do 5.2.3.0.

W podatności CVE-2023-49817 występuje brak autoryzacji w wtyczce heoLixfy Flexible Woocommerce Checkout Field Editor, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.0.1.

W podatności CVE-2023-49158 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji LadiApp, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji LadiApp od n/a do 4.4 włącznie.

W Stripe Payments występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Stripe Payments od n/a do 2.0.79.

Wtyczka Japanized For WooCommerce zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.6.4.

W podatności CVE-2023-32117 występuje brak autoryzacji w aplikacji SoftLab Integrate Google Drive, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Integrate Google Drive od n/a do 1.1.99.

W podatności CVE-2023-25714 występuje brak autoryzacji w systemie Fullworks Quick Paypal Payments, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Quick Paypal Payments od n/a do 5.7.25.

W Ebook Store firmy Shopfiles Ltd występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu. Problem dotyczy wersji Ebook Store od n/a do 5.775.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanym użytkownikom z dostępem do sieci na wykonywanie zdalnych poleceń. Może to prowadzić do poważnych szkód w dostępności, a także zagrożeń dla integralności i poufności danych.

W Qlik Sense Enterprise dla systemu Windows przed listopadem 2024 roku odkryto problem, który pozwala nieuprzywilejowanemu użytkownikowi z dostępem do sieci na tworzenie obiektów połączeń, co może prowadzić do wykonania dowolnych plików EXE. Problem ten został naprawiony w kilku aktualizacjach i łatkach.

Pakiet POSIX::2008 w wersjach przed 0.24 dla Perla ma potencjalne przepełnienie bufora środowiskowego _execve50c.

MailCleaner w wersjach przed 28d913e ma domyślne wartości kluczy ssh_host_dsa_key, ssh_host_rsa_key oraz ssh_host_ed25519_key, które utrzymują się po instalacji. To może prowadzić do nieautoryzowanego dostępu do systemu.

Wtyczka WP Umbrella: Update Backup Restore & Monitoring dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 2.17.0 włącznie, poprzez parametr 'filename' akcji 'umbrella-restore'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Wtyczka Gallery dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 1.3 włącznie, poprzez deserializację niezaufanego wejścia z parametru wd_gallery_$id. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie obiektu PHP.

Wtyczka Beautiful taxonomy filters dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'selects[0][term]' we wszystkich wersjach do i włącznie z 2.4.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka FileOrganizer – Manage WordPress and Website Files dla WordPress jest podatna na lokalne włączenie plików JavaScript we wszystkich wersjach do 1.1.4 włącznie, poprzez parametr 'default_lang'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej włączenie i wykonanie dowolnych plików JavaScript na serwerze.