Katalog podatności CVE

W Webmin 2.021 odkryto podatność typu Stored Cross-Site Scripting (XSS) w funkcjonalności Użytkownicy i Grupy, która pozwala atakującemu na zapisanie złośliwego ładunku w polu Nazwa Grupy podczas tworzenia nowej grupy.

W Webmin 2.021 odkryto problem, który umożliwia wykorzystanie ataku Cross-Site Scripting (XSS) do zdalnego wykonania polecenia (RCE) poprzez parametr rzeczywistego imienia użytkowników i grup.

Vound Intella Connect w wersji 2.6.0.3 jest podatny na przechowywane ataki Cross-site Scripting (XSS). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Vound Intella Connect w wersji 2.6.0.3 zawiera podatność typu Open Redirect, która może być wykorzystana do przekierowywania użytkowników do złośliwych stron internetowych.

Podatność na obejście uwierzytelnienia w D-Link DIR-859 FW105b03 pozwala zdalnym atakującym na uzyskanie podwyższonych uprawnień poprzez phpcgi_main. Problem dotyczy tylko produktów, które nie są już wspierane przez producenta.

Podatność na obejście uwierzytelnienia w D-Link DIR-895 FW102b07 pozwala zdalnym atakującym na uzyskanie podwyższonych uprawnień poprzez funkcję phpcgi_main w cgibin. Problem dotyczy tylko produktów, które nie są już wspierane przez producenta.

Podatność na obejście uwierzytelnienia w D-Link DIR-885L FW102b01 umożliwia zdalnym atakującym uzyskanie podwyższonych uprawnień poprzez phpcgi. Problem dotyczy tylko produktów, które nie są już wspierane przez producenta.

Podatność na obejście uwierzytelniania w oprogramowaniu układowym D-Link DIR-645 w wersji 1.03 pozwala zdalnym atakującym na uzyskanie podwyższonych uprawnień poprzez funkcję phpcgi_main w cgibin.

Podatność w Outline.cc dla Poppler przed wersją 23.06.0 umożliwia zdalnemu atakującemu spowodowanie Denial of Service (DoS) poprzez przygotowany plik PDF w funkcji OutlineItem::open.

Podatność zdalnego wykonania kodu w DedeCMS do wersji 5.7.109 umożliwia atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST do skryptu /dede/tpl.php.

Podatność umożliwia zdalne wykonanie kodu w produktach Ruijie Networks, takich jak routery domowe RG-EW, przełączniki RG-NBS i RG-S1930, routery VPN RG-EG oraz punkty dostępu EAP i RAP. Atakujący mogą uzyskać najwyższe uprawnienia poprzez spreparowane żądanie POST do /cgi-bin/luci/api/auth.

Wifi Soft Unibox w wersjach 3.0 i 3.1 jest podatny na atak typu SQL Injection. Podatność występuje z powodu braku walidacji lub sanitizacji danych wejściowych w polu nazwy użytkownika na stronie logowania.

W oprogramowaniu Guanzhou Tozed Kangwei Intelligent Technology ZLTS10G w wersji S10G_3.11.6 występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atakującym przejęcie kont użytkowników poprzez wysłanie spreparowanego żądania POST do /goform/goform_set_cmd_process.

W SEMCMS v1.5 wykryto podatność na wstrzykiwanie SQL w parametrze 'id' w skrypcie /Ant_Suxin.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.

W podatności CVE-2023-35861 występuje luka typu shell-injection w powiadomieniach e-mail na płytach głównych Supermicro (takich jak H12DST-B przed wersją 03.10.35), która pozwala zdalnym atakującym na wstrzykiwanie i wykonywanie dowolnych poleceń jako root na BMC.

Wtyczka WooCommerce Pre-Orders dla WordPressa w wersjach przed 2.0.3 ma wadliwą kontrolę CSRF przy przetwarzaniu akcji zakładek, co może umożliwić atakującym wysyłanie e-maili do klientów pre-zamówień przez zalogowanych administratorów, zmianę daty wydania, oznaczanie wszystkich pre-zamówień konkretnego produktu jako zakończone lub anulowanie ich za pomocą ataków CSRF.

Wtyczka WooCommerce Pre-Orders dla WordPressa w wersji przed 2.0.3 ma wadliwą kontrolę CSRF przy anulowaniu zamówień wstępnych, co może umożliwić atakującym zmuszanie zalogowanych administratorów do anulowania dowolnych zamówień wstępnych.

Wtyczka LMS by Masteriyo dla WordPressa przed wersją 1.6.8 nie posiada odpowiedniej autoryzacji w niektórych punktach końcowych REST API, co umożliwia studentom dostęp do adresów e-mail innych studentów.

Wtyczka grid-kit-premium dla WordPressa w wersjach przed 2.2.0 nie odpowiednio zabezpiecza niektórych parametrów oraz generowanych adresów URL przed ich wyświetleniem w atrybutach, co prowadzi do podatności na Reflected Cross-Site Scripting.

Wtyczka Forminator dla WordPressa w wersjach przed 1.24.4 nieprawidłowo ucieka wartości, które są odzwierciedlane w polach formularzy wykorzystujących wstępnie wypełnione parametry zapytania, co może prowadzić do ataków XSS.