Katalog podatności CVE

SECOM WRTR-304GN-304TW-UPSC nieprawidłowo filtruje dane wejściowe użytkownika w określonej funkcjonalności. Nieautoryzowani zdalni atakujący mogą wykorzystać tę podatność do wstrzykiwania i wykonywania dowolnych poleceń systemowych na urządzeniu.

Tacquito przed commit 07b49d1358e6ec0b5aa482fcd284f509191119e2 nieprawidłowo wykonywał dopasowania regex dla autoryzowanych poleceń i argumentów. Skonfigurowane dozwolone polecenia/argumenty miały wymagać dopasowania do całego ciągu, ale zamiast tego egzekwowały tylko dopasowanie do podciągu.

W podatności CVE-2024-49322 występuje nieprawidłowe przypisanie uprawnień w wtyczce CodePassenger Job Board Manager dla WordPress, co umożliwia eskalację uprawnień. Problem dotyczy wersji Job Board Manager dla WordPress od n/a do 1.0 włącznie.

Podatność na deserializację niezaufanych danych w Scott My Reading Library my-reading-library umożliwia wstrzyknięcie obiektów. Problem ten dotyczy My Reading Library w wersjach od n/a do 1.0 włącznie.

Podatność CVE-2024-49314 dotyczy programu JiangQie Free Mini Program, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 2.5.2 włącznie.

Wtyczka WPFactory Email Verification dla WooCommerce zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.8.10.

Podatność CVE-2024-49291 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Cooked Pro firmy Gora Tech LLC. Problem ten występuje w wersjach przed 1.8.0.

Podatność CVE-2024-49246 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w wtyczce Ajax Rating z niestandardowym logowaniem, co pozwala na atak typu SQL Injection. Problem ten dotyczy wersji wtyczki od n/a do 1.1 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w madiriaashish, dotycząca dodawania rozwijanych ról w rejestracji użytkownika, umożliwia eskalację uprawnień. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

PutongOJ to oprogramowanie do oceny online. Przed wersją 2.1.0-beta.1, nieuprzywilejowani użytkownicy mogli eskalować swoje uprawnienia poprzez konstruowanie odpowiednich żądań, co prowadziło do nieautoryzowanego dostępu i możliwości wykonywania operacji na poziomie administratora.

Podatność w pliku .sdd umożliwia atakującemu odczytanie domyślnych haseł przechowywanych w postaci niezaszyfrowanej w kodzie. Wykorzystując te dane, atakujący może zalogować się do dotkniętych produktów SICK jako 'Uprawniony Klient', jeśli klient nie zmienił domyślnego hasła.

Wtyczka WP Timetics - AI-powered Appointment Booking Calendar and Online Scheduling Plugin dla WordPressa jest podatna na przejęcie konta oraz eskalację uprawnień z powodu niebezpiecznego bezpośredniego odniesienia do obiektów we wszystkich wersjach do 1.0.25 włącznie. Problem wynika z braku walidacji klucza kontrolowanego przez użytkownika w funkcji save().

Wtyczka Miniorange OTP Verification with Firebase dla WordPressa jest podatna na eskalację uprawnień w wersjach do 3.6.0 włącznie, z powodu niebezpiecznej domyślnej wartości 'administrator' dla opcji 'default_user_role'. Umożliwia to nieautoryzowanym atakującym rejestrację użytkownika z uprawnieniami administratora, nawet jeśli formularz rejestracji jest wyłączony.

Wtyczka Nextend Social Login Pro dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 3.1.14 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika zwracanego przez token logowania społecznościowego.

Wtyczka WordPress Gallery Plugin – Limb Image Gallery w wersjach od n/a do 1.5.7 zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wtyczki limb-gallery.

W podatności CVE-2024-49254 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w bibliotece ajax-extend w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanego kodu.

Podatność CVE-2024-49242 w systemie Shafiq Digital Lottery umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwerze WWW. Problem dotyczy wersji Digital Lottery od n/a do 3.0.5 włącznie.

Podatność CVE-2024-49227 dotyczy deserializacji niezaufanych danych w aplikacji Foter Free Stock Photos, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.5.4 włącznie.

Podatność CVE-2024-49218 dotyczy deserializacji nieufnych danych w wtyczce Recently dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.1.