Katalog podatności CVE

Podatność CVE-2024-50530 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Stars SMTP Mailer, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Stars SMTP Mailer od n/a do 2.2.1 włącznie.

Podatność CVE-2024-50529 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji rudrainn Training – Courses, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Training – Courses od n/a do 2.0.1 włącznie.

Podatność CVE-2024-50527 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Stacks Mobile App Builder, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji aplikacji od n/a do 5.2.3.

Podatność CVE-2024-50526 dotyczy formularza Multi Purpose Mail Form, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-50525 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Helloprint, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Helloprint od n/a do 2.0.4 włącznie.

Podatność CVE-2024-50523 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w formularzu kontaktowym All Post Contact Form, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.8.2 włącznie.

W podatności CVE-2024-10035 w systemie CoslatV3 firmy BG-TEK Informatics Security Technologies występuje problem z niewłaściwą kontrolą generowania kodu, co prowadzi do możliwości wstrzyknięcia poleceń oraz eskalacji uprawnień. Dotyczy to wersji do 3.1069.

W podatności CVE-2024-51661 występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń (OS Command Injection) w aplikacji Media Library Assistant w wersjach od n/a do 3.19 włącznie.

W systemie Beauty Parlour Management System v1.1 od Phpgurukul wykryto podatność na wstrzykiwanie SQL w pliku admin/index.php poprzez parametr username. Atakujący może przesłać złośliwe zapytanie SQL, co pozwala na nieautoryzowany dostęp do bazy danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL przez parametr 'tid' w skrypcie admin/queries.php. Atakujący może wykorzystać tę lukę do wykonania dowolnych zapytań SQL na bazie danych.

W systemie Phpgurukul Teachers Record Management System v2.1 wykryto podatność na wstrzykiwanie SQL w pliku add-teacher.php poprzez parametry numeru telefonu lub adresu e-mail. Atakujący może manipulować tymi parametrami, aby wykonać nieautoryzowane zapytania do bazy danych.

W systemie rekrutacji online Projectworlds w wersji 1 wykryto podatność na wstrzykiwanie SQL w pliku index.php poprzez parametr 'a_id'. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.

Glossarizer w wersji 1.5.2 niewłaściwie próbuje konwertować tekst na HTML. Mimo że aplikacja sama ucieka od specjalnych znaków (np. <>), używana biblioteka konwertuje te zakodowane znaki na prawidłowy HTML, co może prowadzić do przechowywanego XSS.

ZoneMinder to darmowa, otwartoźródłowa aplikacja do monitoringu wideo. W wersjach ZoneMinder v1.37.* do 1.37.64 występuje podatność na atak typu SQL Injection oparty na logice w funkcji web/ajax/event.php, która została naprawiona w wersji 1.37.65.

Podatność typu Cross-Site Request Forgery (CSRF) w EKC Tournament Manager umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji EKC Tournament Manager od n/a do 2.2.1 włącznie.

Wtyczka AI Power: Complete AI Pack dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'handle_image_upload' we wszystkich wersjach do i włącznie z 1.8.89. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W smart kontrakcie PepeGxng, działającym na blockchainie Ethereum, występuje problem, który pozwala zdalnym atakującym na wywarcie nieokreślonego wpływu za pomocą funkcji mint. Należy jednak zauważyć, że ten problem jest kwestionowany przez strony trzecie, ponieważ wpływ ogranicza się do wywołań funkcji.

Problem w kontrakcie inteligentnym PepeGxng, który może być uruchamiany na blockchainie Ethereum, pozwala zdalnym atakującym na wywarcie nieokreślonego wpływu za pomocą funkcji Owned.setOwner. Należy zauważyć, że jest to kwestionowane przez strony trzecie, ponieważ wpływ jest ograniczony do wywołań funkcji.

Wersje Delta Electronics InfraSuite Device Master przed 1.0.12 są podatne na lukę deserializacji, która dotyczy Device-Gateway. Może to umożliwić deserializację dowolnych obiektów .NET przed uwierzytelnieniem.

Wtyczka W3SPEEDSTER dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 7.26 włącznie, poprzez parametr 'script' funkcji hookBeforeStartOptimization(). Problem wynika z przekazywania danych dostarczonych przez użytkownika do funkcji eval().