Katalog podatności CVE

Podatność typu Cross-Site Request Forgery (CSRF) w Z.com byGMO GMO Social Connection umożliwia atak typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji GMO Social Connection od n/a do 1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Garmur While Loading umożliwia wykonanie ataku Stored XSS. Problem ten dotyczy wersji While Loading od n/a do 3.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Webriti Custom Login umożliwia wykonanie ataku typu Reflected XSS. Problem ten dotyczy wersji Webriti Custom Login od n/a do 0.3 włącznie.

W podatności CVE-2024-51633 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Simple Page Specific Sidebars, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.14.1 włącznie.

W podatności CVE-2024-51632 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Sam Hoe SH Slideshow, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji SH Slideshow od n/a do 4.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Sticky Social Bar, która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji wtyczki od n/a do 2.0 włącznie.

W podatności CVE-2024-50534 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji World Prayer Time, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji aplikacji od n/a do 2.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Domain Sharding autorstwa Davida Garcii umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Domain Sharding od n/a do 1.2.1 włącznie.

W podatności CVE-2024-50532 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Events Manager Pro – extended w wersjach od n/a do 0.1.

W podatności CVE-2024-50522 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WeChat Subscribers Lite w wersjach od n/a do 1.6.6.

Podatność CVE-2024-50519 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Jigoshop – Store Exporter w wersjach od n/a do 1.5.8. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Funkcja mediapool w Redaxo Core CMS w wersji 5.17.1 zawiera podatność na atak typu Cross-Site Scripting (XSS). Zdalny atakujący może wykorzystać tę lukę do eskalacji uprawnień w systemie.

Podatność w pakiecie Incoming Goods Suite umożliwia użytkownikowi z nieuprzywilejowanym dostępem do systemu (np. lokalnie lub przez SSH) eskalację uprawnień do poziomu administracyjnego z powodu użycia obrazów kontenerów Docker działających z uprawnieniami roota. Wykorzystanie tej błędnej konfiguracji pozwala atakującemu na uzyskanie administracyjnej kontroli nad całym systemem.

W procedurze odczytu plików X_B i SAT w eDrawings, dostępnej w wersjach SOLIDWORKS 2024 i 2025, występują podatności związane z przepełnieniem bufora w pamięci oraz niezainicjowaną zmienną. Te podatności mogą umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku X_B lub SAT.

Wtyczka Classified Listing – Classified ads & Business Directory dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z błędnej konfiguracji funkcji 'rtcl_import_settings' we wszystkich wersjach do 3.1.15.1 włącznie.

Podatność związana z niewłaściwą walidacją określonego typu wejścia w produktach Mitsubishi Electric Corporation MELSEC iQ-F Series FX5-ENET w wersjach 1.100 do 1.200 oraz FX5-ENET/IP w wersjach 1.100 do 1.104 pozwala zdalnemu atakującemu na spowodowanie stanu Denial of Service w komunikacji Ethernet poprzez wysyłanie specjalnie przygotowanych pakietów SLMP.

Wersje pakietu @eslint/plugin-kit przed 0.2.3 są podatne na atak typu Regular Expression Denial of Service (ReDoS) z powodu niewłaściwej sanitizacji danych wejściowych. Atakujący może zwiększyć zużycie CPU i spowodować awarię programu, wykorzystując tę podatność.

W jądrze Linux w sterowniku enetc występuje podatność na dereferencję wskaźnika NULL. Problem pojawia się, gdy funkcja enetc_pf_set_vf_mac() jest wywoływana przed inicjalizacją pamięci dla vf_state, co prowadzi do awarii systemu.

W jądrze Linux w module ksmbd występuje podatność slab-use-after-free w funkcji ksmbd_smb2_session_create. Istnieje wyścig między tą funkcją a ksmbd_expire_session, co wymaga dodania brakującego blokowania tabeli sesji podczas dodawania/usuwania sesji z globalnej tabeli.