Katalog podatności CVE

Podatność CVE-2024-52377 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji bdthemes Instant Image Generator. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2024-52376 dotyczy wtyczki Boat Rental dla WordPressa, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.

W podatności CVE-2024-52375 występuje nieograniczony upload plików o niebezpiecznych typach w Datasets Manager od Arttia Creative, co może prowadzić do poważnych zagrożeń bezpieczeństwa. Problem dotyczy wersji od n/a do 1.5 włącznie.

Podatność CVE-2024-52374 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Do That Task, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Do That Task od n/a do 1.5.5 włącznie.

Podatność CVE-2024-52373 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w Devexhub Gallery, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Devexhub Gallery od n/a do 2.0.1 włącznie.

Podatność CVE-2024-52372 dotyczy Easy CSV Importer BETA, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

W podatności CVE-2024-52371 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w systemie DonnellC Global Gateway e4 oraz Payeezy Gateway. Problem dotyczy wersji od n/a do 2.0 włącznie.

Występuje podatność na uszkodzenie pamięci w dotkniętych produktach podczas analizy plików DFT. Lokalni aktorzy zagrożeń mogą wykorzystać ten problem do ujawnienia informacji oraz wykonania dowolnego kodu, pod warunkiem, że uprawniony użytkownik otworzy złośliwy plik DFT.

W pakiecie Keycloak znaleziono lukę, która umożliwia atakującemu wykorzystanie wstrzyknięcia LDAP do ominięcia wyszukiwania nazwy użytkownika lub potencjalnie wykonania innych złośliwych działań.

W module jądra ksmbd wykryto błąd w parsowaniu rozszerzonych atrybutów. Problem wynika z braku odpowiedniej walidacji danych dostarczonych przez użytkownika, co może prowadzić do odczytu poza końcem zaalokowanego bufora. Atakujący może wykorzystać tę lukę do ujawnienia poufnych informacji w podatnych instalacjach systemu Linux. Tylko systemy z włączonym ksmbd są podatne na to CVE.

Wtyczka Chartify – WordPress Chart Plugin dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 2.9.5 poprzez parametr 'source'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Serwer WWW Boa jest podatny na atak typu 'Path Traversal', co pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Atakujący może uzyskać dostęp do plików poza dozwolonymi katalogami.

VaeMendis jest podatny na ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem ten klasyfikowany jest jako CWE-200.

VaeMendis zawiera podatność typu Cross-site Scripting (XSS) związaną z niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście przeglądarki ofiary.

Podatność CVE-2024-45253 dotyczy oprogramowania Avigilon i polega na niewłaściwym ograniczeniu ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal'. Atakujący może uzyskać dostęp do plików i katalogów, które powinny być niedostępne.

W systemie zarządzania relacjami z dostawcami vSRM firmy ITG Computer Technology występuje podatność na niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych, co umożliwia ataki typu Reflected XSS (Cross-site Scripting). Problem dotyczy wersji przed 28.08.2024.

W aplikacji mobilnej (com.transsion.phoenix) występuje podatność na nieautoryzowany dostęp, która może prowadzić do wycieku informacji o użytkownikach.

Problem w sposobie, w jaki urządzenia XINJE XD5E-24R i XL5E-16T w wersji 3.5.3b obsługują wiadomości protokołu TCP, umożliwia atakującym spowodowanie awarii usługi (DoS) poprzez spreparowaną wiadomość TCP.

Nieprawidłowe neutralizowanie specjalnych elementów używanych w poleceniach SQL w niektórych wersjach oprogramowania Intel(R) Neural Compressor przed wersją v3.0 może pozwolić uwierzytelnionemu użytkownikowi na potencjalne uzyskanie podwyższonych uprawnień poprzez lokalny dostęp.

W niektórych wersjach oprogramowania Intel(R) Neural Compressor przed wersją v3.0 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu SQL Injection. Umożliwia to uwierzytelnionemu użytkownikowi potencjalne podniesienie uprawnień poprzez dostęp do sąsiednich zasobów.