Katalog podatności CVE

W aplikacji Stacks Mobile App Builder występuje podatność na obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3 włącznie.

Podatność CVE-2024-50450 dotyczy niewłaściwej kontroli generowania kodu w wtyczce RealMag777 MDTF wp-meta-data-filter-and-taxonomy-filter, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji MDTF od n/a do 1.3.3.4 włącznie.

W podatności CVE-2024-50416 występuje problem deserializacji niezaufanych danych w wtyczce WPC Shop as a Customer dla WooCommerce, co pozwala na wstrzyknięcie obiektów. Dotyczy to wersji wtyczki od n/a do 1.2.6.

Podatność na deserializację niezaufanych danych w systemie Bob Namaste! LMS umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Namaste! LMS od n/a do 2.6.3 włącznie.

Aplikacje Spring WebFlux z regułami autoryzacji Spring Security na zasobach statycznych mogą być omijane w określonych okolicznościach. Aby podatność miała wpływ na aplikację, muszą być spełnione trzy warunki: musi to być aplikacja WebFlux, musi korzystać z obsługi zasobów statycznych Springa oraz musi mieć zastosowaną regułę autoryzacji, która nie zezwala na dostęp dla wszystkich.

Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na wstrzykiwanie dowolnego kodu PHP z powodu braku walidacji typu pliku podczas eksportu we wszystkich wersjach do 7.86 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora stworzenie pliku eksportu z rozszerzeniem .php na serwerze, dodając do niego dowolny kod PHP.

W jądrze Linuxa zidentyfikowano podatność, która pozwala na dostęp do pamięci poza przydzielonym buforem podczas pobierania argumentów w funkcji uprobe. Problem ten wynika z braku sprawdzenia, czy dane przekraczają rozmiar pojedynczej strony pamięci, co prowadzi do błędów typu use-after-free.

Ironman PowerShell Universal w wersjach 5.x przed 5.0.12 pozwala uwierzytelnionemu atakującemu na podniesienie swoich uprawnień oraz przeglądanie informacji o zadaniach.

CVE-2024-50611 dotyczy narzędzia CycloneDX cdxgen w wersji do 10.10.7, które może wykonywać kod zawarty w plikach związanych z budowaniem, takich jak build.gradle.kts, gdy jest uruchamiane w kontekście nieufnej bazy kodu. Problem ten jest podobny do CVE-2022-24441 i został określony jako ograniczenie projektowe.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 3.0.7. Problem wynika z niewystarczającej weryfikacji użytkownika zwracanego przez token logowania społecznościowego.

Wtyczka WPSchoolPress dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 2.2.10 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak adres e-mail.

Wtyczka WordPress Post Grid Layouts with Pagination – Sogrid jest podatna na Local File Inclusion we wszystkich wersjach do 1.5.6 włącznie, poprzez parametr 'tab'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej do włączenia i wykonania dowolnych plików na serwerze.

Oprogramowanie NVIDIA vGPU zawiera podatność w Virtual GPU Manager, która pozwala użytkownikowi systemu gościa na dostęp do globalnych zasobów. Skuteczne wykorzystanie tej podatności może prowadzić do ujawnienia informacji, manipulacji danymi oraz eskalacji uprawnień.

Oprogramowanie NVIDIA vGPU zawiera podatność w sterowniku jądra GPU menedżera vGPU dla wszystkich wspieranych hipernadzorców, gdzie użytkownik systemu gościa może spowodować niewłaściwą walidację danych wejściowych poprzez kompromitację jądra systemu gościa. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

Sterownik wyświetlacza GPU NVIDIA dla systemów Windows i Linux zawiera podatność, która może pozwolić uprzywilejowanemu atakującemu na eskalację uprawnień. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Sterownik wyświetlacza GPU NVIDIA dla systemu Windows zawiera podatność w warstwie trybu użytkownika, która pozwala nieuprzywilejowanemu użytkownikowi na wywołanie odczytu poza przydzielonym zakresem. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Sterownik wyświetlacza GPU NVIDIA dla systemu Windows zawiera podatność w warstwie trybu użytkownika, która pozwala nieuprzywilejowanemu użytkownikowi na wywołanie odczytu poza przydzielonym zakresem. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Sterownik wyświetlacza GPU NVIDIA dla systemu Windows zawiera podatność w warstwie trybu użytkownika, która pozwala na odczyt poza przydzielonym zakresem przez nieuprzywilejowanego użytkownika. Skuteczne wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.

Sterownik wyświetlacza GPU NVIDIA dla systemu Windows zawiera podatność w warstwie trybu użytkownika, która pozwala nieuprzywilejowanemu użytkownikowi na wywołanie odczytu poza zakresem. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.