Katalog podatności CVE

Wady w klasach poleceń Device Reset Locally mogą być wykorzystane do tymczasowego zablokowania usługi dla urządzenia końcowego. W tym czasie żadne ramki wysyłane przez urządzenie końcowe nie będą potwierdzane przez bramę.

Podatność na Cross Site Scripting w Lavalite CMS v.10.1.0 umożliwia atakującym wykonanie dowolnego kodu i uzyskanie wrażliwych informacji poprzez spreparowany payload w URL.

W komponentach DeviceIoControl w ASUS Fan_Xpert przed wersją 10013 odkryto problem, który pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowane żądania IOCTL.

MCUboot to bezpieczny program rozruchowy dla 32-bitowych mikrokontrolerów. Wykorzystuje strukturę TLV (tag-length-value) do reprezentacji metadanych związanych z obrazem, jednak nie rozróżnia, które wpisy TLV powinny być chronione, co umożliwia atakującym dodawanie niechronionych wpisów, które powinny być chronione.

Danswer, asystent AI połączony z dokumentami, aplikacjami i ludźmi w firmie, jest podatny na nieautoryzowany dostęp do tokenów botów Slack. Osoba z dostępem do sieci może ukraść tokeny botów Slack i je ustawić, co prowadzi do pełnego przejęcia bota Slack klienta.

W platformie analizy danych Panalog firmy Beijing Panabit Network Software Co., Ltd w wersji 20240323 i wcześniejszych występuje problem, który umożliwia atakującym wykonanie dowolnego kodu za pośrednictwem komponentu exportpdf.php.

W systemie zarządzania ubezpieczeniami w wersji 1.0.0 i wcześniejszych występuje problem, który pozwala zdalnemu atakującemu na eskalację uprawnień poprzez spreparowane żądanie POST do /admin/core/new_staff.

W routerach ASUS RT-N12+ B1 i RT-N12 D1 wykryto nieprawidłową kontrolę dostępu przez interfejs UART. Lokalny atakujący może uzyskać dostęp do terminala roota.

Router Tenda N300 F3 zawiera podatność umożliwiającą użytkownikom ominięcie zamierzonej polityki bezpieczeństwa i tworzenie słabych haseł.

Router Asus RT-N12+ B1 przechowuje hasła użytkowników w postaci jawnego tekstu, co może umożliwić lokalnym atakującym uzyskanie nieautoryzowanego dostępu i modyfikację ustawień routera.

Router Asus RT-N12+ B1 przechowuje dane uwierzytelniające w postaci jawnego tekstu, co może umożliwić lokalnym atakującym uzyskanie nieautoryzowanego dostępu i modyfikację ustawień routera.

W routerze Asus RT-N12+ wykryto podatność na wstrzykiwanie CSV, która umożliwia administratorowi wstrzyknięcie dowolnych poleceń lub formuł w parametrze nazwy klienta. Po wyeksportowaniu danych do formatu CSV, wstrzyknięty kod może zostać uruchomiony w sesji innego użytkownika.

Wtyczka Product Addons & Fields dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji ppom_upload_file we wszystkich wersjach do 32.0.18 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP SMTP dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'search' w wersjach od 1.2 do 1.2.6. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Zespół ENVY odkrył lukę, która umożliwia zdalne wykonanie kodu na kamerze. Atakujący może wstrzyknąć złośliwy kod do pakietów żądań HTTP, co pozwala na wykonanie dowolnego kodu.

Wykryto lukę w oprogramowaniu układowym DVR, polegającą na niewłaściwej logice szyfrowania, co umożliwia odszyfrowanie danych. Producent wydał poprawkę, która rozwiązuje ten problem.

Wykryto lukę, która umożliwia zdalne wykonanie kodu na DVR. Atakujący może wstrzykiwać złośliwe nagłówki HTTP do pakietów żądań, co pozwala na wykonanie dowolnego kodu.

Wersje M-Files Server przed 24.4.13592.4 oraz po 23.11 (z wyjątkiem 24.2 LTS) mają podatność na atak typu denial of service, który pozwala nieautoryzowanemu użytkownikowi na zużycie zasobów obliczeniowych.

W cri-o znaleziono lukę, która pozwala na wstrzyknięcie dowolnej właściwości systemd za pomocą adnotacji Pod. Użytkownik, który może utworzyć pod z dowolną adnotacją, może wykonać dowolną akcję na systemie gospodarza.

W systemie S.I.L. 388 firmy Setor Informatica odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr hprinter. Podatność ta jest aktywowana za pomocą odpowiednio skonstruowanego żądania POST.