Katalog podatności CVE

W jądrze Linux w sterowniku SCSI lpfc występuje podatność na dereferencję wskaźnika NULL podczas przetwarzania przejścia łącza w dół. W pewnych warunkach może dojść do odwołania do nieprawidłowej struktury, co prowadzi do awarii.

Plane, narzędzie do zarządzania projektami typu open-source, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach przed 0.17-dev. Problem ten może umożliwić atakującemu wysyłanie dowolnych żądań z serwera hostującego aplikację, co może prowadzić do nieautoryzowanego dostępu do systemów wewnętrznych.

Zidentyfikowano podatność w klasie `exec_utils` pakietu `llama_index`, szczególnie w funkcji `safe_eval`, która umożliwia wstrzykiwanie poleceń prowadzące do wykonania dowolnego kodu. Problem wynika z niewystarczającej walidacji danych wejściowych, co może być wykorzystane do obejścia ograniczeń metod i wykonania nieautoryzowanego kodu.

W podatności CVE-2024-31356 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w Solwin Infotech User Activity Log. Problem dotyczy wersji User Activity Log od n/a do 1.8.

Podatność typu SQL Injection w Tribulant Slideshow Gallery, która występuje w wersjach od n/a do 1.7.8. Problem polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

W aplikacji Sonaar Music MP3 Audio Player występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 4.10.1. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji aplikacji.

Podatność typu Cross-Site Request Forgery (CSRF) w systemie rezerwacji ReDi Restaurant umożliwia atak typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji ReDi Restaurant Reservation od n/a do 24.0128.

Podatność CVE-2024-1643 pozwala atakującemu na dołączenie do organizacji, znając jej identyfikator, co umożliwia mu odczyt i modyfikację wszystkich danych w tej organizacji. Problem wynika z niewystarczającej weryfikacji uprawnień użytkowników przy dołączaniu do organizacji.

Podatność na wstrzykiwanie poleceń umożliwia atakującemu wykonanie wstrzykiwania poleceń w aplikacjach Windows, które pośrednio zależą od funkcji CreateProcess, gdy spełnione są określone warunki.

W podatności CVE-2024-31358 występuje brak autoryzacji w wtyczce Tobias 5 Stars Rating Funnel, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji wtyczki od n/a do 1.2.67.

Wtyczka WPExperts Wholesale dla WooCommerce zawiera lukę związaną z brakiem autoryzacji. Problem ten dotyczy wersji wtyczki od n/a do 2.3.0.

Podatność polegająca na wstawianiu wrażliwych informacji do pliku dziennika w Searchiq SearchIQ. Problem ten dotyczy wersji SearchIQ od n/a do 4.5.

Wtyczka Subscribe To Comments Reloaded (autorstwa WPKube) do WordPressa w wersjach do 220725 ma podatność polegającą na umieszczaniu wrażliwych informacji w plikach dziennika, co może prowadzić do wycieku danych.

Wtyczka ConvertKit do WordPressa w wersjach do 2.4.5 ma podatność polegającą na umieszczaniu wrażliwych informacji w plikach dziennika, co może prowadzić do wycieku danych.

Podatność typu 'Path Traversal' w wtyczce WP Poll Maker pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Dotyczy to wersji WP Poll Maker od n/a do 3.1.

W Nozomi Networks Guardian występuje podatność typu Denial of Service (DoS) spowodowana niewłaściwą walidacją danych wejściowych w niektórych polach używanych w funkcjonalności analizy Radius. Umożliwia to nieautoryzowanemu atakującemu wysyłanie specjalnie skonstruowanych, uszkodzonych pakietów sieciowych, co prowadzi do zatrzymania aktualizacji modułu IDS.

Rekordy audytu dla żądań OpenAPI mogą zawierać wrażliwe informacje. To może prowadzić do nieautoryzowanego dostępu oraz eskalacji uprawnień.

W Portainer CE 2.19.4 wykryto podatność umożliwiającą enumerację użytkowników. Podczas procesu uwierzytelniania różnica w czasie odpowiedzi pozwala zdalnemu, nieuwierzytelnionemu atakującemu stwierdzić, czy dana nazwa użytkownika jest poprawna.

Traccar to otwartoźródłowy system śledzenia GPS. Wersje przed 6.0 są podatne na przejście ścieżki oraz nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala atakującym na wykorzystanie tej luki po zarejestrowaniu konta użytkownika.

W bibliotece Time4J Base w wersji 5.9.3 odkryto wyjątek NullPointerException w metodzie FormatUtils::useDefaultWeekmodel(Locale). Uwaga: wiele stron trzecich kwestionuje istnienie tej podatności, twierdząc, że brakuje wystarczających dowodów na jej występowanie.