Katalog podatności CVE

Podatność CVE-2024-41969 pozwala atakującemu z niskimi uprawnieniami zdalnie modyfikować konfigurację usługi CODESYS V3 z powodu braku odpowiedniej autoryzacji. Może to prowadzić do pełnego dostępu do systemu oraz/lub ataku typu DoS.

Atakujący z niskimi uprawnieniami zdalnie może zmodyfikować konfigurację trybu rozruchu urządzenia, co prowadzi do zmiany procesu aktualizacji oprogramowania układowego lub ataku typu denial-of-service.

W LemonLDAP::NG przed wersją 2.20.1 odkryto problem związany z nieprawidłowym sprawdzaniem podczas odświeżania sesji. Umożliwia to uwierzytelnionemu użytkownikowi podniesienie swojego poziomu uwierzytelnienia, jeśli administrator skonfigurował regułę 'Adaptacyjnego uwierzytelnienia' z przyrostem zamiast wartości bezwzględnej.

AnyDesk w wersji do 8.1.0 na systemie Windows, gdy włączona jest opcja 'Zezwól na bezpośrednie połączenia', niezamierzenie ujawnia publiczny adres IP w ruchu sieciowym. Atakujący musi znać identyfikator AnyDesk ofiary.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co pozwala na dostęp do buforów graficznych procesu nadrzędnego.

miniupnp przed wersją 4c90b87, używany w Bitcoin Core przed wersją 0.12 oraz innych produktach, nie sprawdza wartości zwracanych przez snprintf, co prowadzi do przepełnienia bufora i istotnego wycieku danych. W Bitcoin Core przed wersją 0.12 możliwe było zdalne wykonanie kodu w połączeniu z wykorzystaniem podatności CVE-2015-6031.

W kube-controller-manager znaleziono lukę, która występuje, gdy początkowa aplikacja konfiguracji HPA w formacie YAML nie zawiera bloku .spec.behavior.scaleUp. Powoduje to odmowę usługi z powodu ciągłego restartowania podów KCM.

W Undertow znaleziono błąd, który nieprawidłowo analizuje ciasteczka z określonymi znakami rozdzielającymi wartości w przychodzących żądaniach. Problem ten może umożliwić atakującemu skonstruowanie wartości ciasteczka w celu wykradzenia wartości ciasteczek HttpOnly lub fałszowania dodatkowych wartości ciasteczek, co prowadzi do nieautoryzowanego dostępu do danych lub ich modyfikacji.

Moduł Remote ID Holy Stone HSRID01, w wersji oprogramowania dystrybuowanej z aplikacją mobilną Drone Go2 przed wersją 1.1.8, umożliwia nieautoryzowane działania 'zdalnego wyłączenia zasilania' (w trybie nadawania) poprzez wielokrotne operacje odczytu na GATT ASTM Remote ID (0xFFFA).

Podatność w guix-daemon w GNU Guix przed wersją 5ab3c4c umożliwia eskalację uprawnień, ponieważ wyniki budowy są dostępne dla lokalnych użytkowników przed odpowiednim uwzględnieniem metadanych plików (np. dla programów setuid i setgid).

Podatność CVE-2024-52397 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Convert Docx2post, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Convert Docx2post od n/a do 1.4 włącznie.

W narzędziu Debug Tool autorstwa Eugen Bobrowskiego występuje luka związana z brakiem autoryzacji, która umożliwia przesyłanie powłok internetowych na serwer WWW. Problem ten dotyczy wersji Debug Tool od n/a do 2.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce SK WP Settings Backup umożliwia wstrzykiwanie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.0 włącznie.

Podatność CVE-2024-52414 dotyczy deserializacji niezaufanych danych w wdes-responsive-mobile-menu, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 5.3.18 włącznie.

Podatność na deserializację niezaufanych danych w dmcwebzone Airin Blog umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Airin Blog od n/a do 1.6.1 włącznie.

Podatność na deserializację niezaufanych danych w Stephen Cui Xin umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Xin od n/a do 1.0.8.1.

Podatność CVE-2024-52411 dotyczy deserializacji niezaufanych danych w systemie Advanced Personalization od flowcraft, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.1.2 włącznie.

Podatność CVE-2024-52410 dotyczy deserializacji niezaufanych danych w Phoenixheart Referrer Detector, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Referrer Detector od n/a do 4.2.1.0 włącznie.

Podatność CVE-2024-52409 dotyczy deserializacji niezaufanych danych w wtyczce Phoenixheart AJAX Random Posts, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 0.3.3 włącznie.

Podatność CVE-2024-52408 dotyczy wtyczki Push Notifications for WordPress od PushAssist, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.