Katalog podatności CVE

W module Text Commander firmy Cybrosys Techno Solutions w wersjach 16.0 do 16.0.1 występuje podatność na atak typu SQL injection. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez parametr data w pliku models/ir_model.py:IrModel::chech_model.

W module ZI PT Solusi Usaha Mudah Analytic Data Query (izi_data) w wersjach od 11.0 do 17.x przed 17.0.3 występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez zapytania do funkcji IZITools::query_check, IZITools::query_fetch lub IZITools::query_execute.

W module PostgreSQL Query Deluxe (query_deluxe) w wersjach 17.x przed 17.0.0.4 występuje podatność na wstrzykiwanie SQL. Umożliwia to zdalnemu atakującemu uzyskanie uprawnień poprzez parametr zapytania w models/querydeluxe.py:QueryDeluxe::get_result_from_query.

Demon pamięci podręcznej usług nazw (nscd) ma błąd w pamięci, który może prowadzić do jej uszkodzenia, gdy wywołanie NSS nie przechowuje wszystkich ciągów w dostarczonym buforze. Problem ten został wprowadzony w glibc 2.15, kiedy dodano pamięć podręczną do nscd.

Demon pamięci podręcznej usługi nazw (nscd) może zakończyć działanie w przypadku niepowodzenia alokacji pamięci, co prowadzi do odmowy usługi dla klientów. Problem ten został wprowadzony w glibc 2.15, kiedy dodano pamięć podręczną do nscd.

W nscd występuje przepełnienie bufora na stosie, które może wystąpić, gdy cache o stałej wielkości zostanie wyczerpane przez żądania klientów. Kolejne żądanie klienta o dane netgroup może prowadzić do tego błędu.

W podatności CVE-2024-34412 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Parcel Panel w wersjach od n/a do 3.8.1.

W podatności CVE-2024-34386 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Auto Affiliate Links. Problem dotyczy wersji wtyczki od n/a do 6.4.3.1.

W LeadConnector występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 1.7.

Podatność CVE-2024-34369 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie powiadomień Webpushr. Problem ten występuje w wersjach Webpushr od n/a do 4.35.0.

Podatność typu Cross-Site Request Forgery (CSRF) w Popup Box Team Popup box umożliwia wykonanie ataku Cross-Site Scripting (XSS). Problem ten dotyczy wersji Popup box od n/a do 4.1.2.

W Academy LMS występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 1.9.16.

Podatność CVE-2024-34388 dotyczy ujawnienia wrażliwych informacji osobom nieuprawnionym w systemie Scribit GDPR Compliance. Problem ten dotyczy wersji od n/a do 1.2.5.

W podatności CVE-2024-32807 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co pozwala na atak typu Path Traversal w wtyczce Brevo Sendinblue dla WooCommerce. Problem dotyczy wersji od n/a do 4.0.17.

W systemie bibliotecznym korzystającym z PHP/MySQLi w wersji źródłowej 1.0 występuje problem, który umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą zmiennej _FAILE w komponencie student_edit_photo.php.

W frameworku Litestar i Starlite, przed wersjami 2.8.3, 2.7.2 i 2.6.4, odkryto podatność typu Local File Inclusion (LFI) w komponencie obsługi statycznych plików. Umożliwia ona atakującym wykorzystanie błędów w przechodzeniu ścieżek, co prowadzi do nieautoryzowanego dostępu do wrażliwych plików poza wyznaczonymi katalogami.

go-ethereum (geth) to implementacja warstwy wykonawczej protokołu Ethereum w języku golang. Przed wersją 1.13.15, podatny węzeł mógł być zmuszony do zużywania bardzo dużych ilości pamięci podczas obsługi specjalnie przygotowanych wiadomości p2p wysyłanych z węzła atakującego.

Oprogramowanie układowe serii NPort 5100A w wersji v1.6 i wcześniejszych jest podatne na lukę XSS w serwerze WWW. Luka ta wynika z nieprawidłowego neutralizowania danych wejściowych kontrolowanych przez użytkownika przed umieszczeniem ich w wyjściu.

Wersje Section Camera V2.5.5.3116-S50-SMA-B20160811 i wcześniejsze umożliwiają nieautoryzowaną zmianę kont i haseł administratorów oraz użytkowników.

Podatność CVE-2023-49675 dotyczy nieautoryzowanego lokalnego atakującego, który może nakłonić użytkownika do otwarcia uszkodzonych plików projektów, co prowadzi do wykonania dowolnego kodu lub awarii systemu z powodu luki związanej z zapisem poza dozwolonym zakresem.