Katalog podatności CVE

Niebezpieczna deserializacja w niektórych procesach IPS Managera umożliwia nieautoryzowanym zdalnym atakującym wykonanie dowolnego kodu oraz uzyskanie dostępu do podatnego Menedżera IPS Trellix.

Niektóre modele routerów ASUS mają podatność na nieautoryzowane przesyłanie firmware'u. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do wykonywania dowolnych poleceń systemowych na urządzeniu.

Wtyczka LatePoint Plugin dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku sprawdzenia uprawnień w funkcji 'start_or_use_session_for_customer' we wszystkich wersjach do 4.9.9 włącznie. Umożliwia to nieautoryzowanym atakującym przeglądanie szafek innych klientów oraz zmianę haseł użytkowników LatePoint.

Wtyczka Where I Was, Where I Will Be dla WordPressa jest podatna na zdalne dołączanie plików w wersji <= 1.1.1 poprzez parametr WIW_HEADER w pliku /system/include/include_user.php. Umożliwia to nieautoryzowanym atakującym dołączenie i wykonanie dowolnych plików hostowanych na zewnętrznych serwerach.

Wtyczka Canto dla WordPressa jest podatna na zdalne dołączanie plików we wszystkich wersjach do 3.0.8 włącznie, poprzez parametr abspath. Umożliwia to nieautoryzowanym atakującym dołączenie zdalnych plików na serwerze, co prowadzi do wykonania kodu.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu. Ta podatność może być wykorzystana w połączeniu z innymi podatnościami i jest trudna do samodzielnego wykonania.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu poprzez nadpisanie istniejących plików Pythona zawierających kod wykonywalny. Ta podatność może być wykorzystana w połączeniu z innymi podatnościami i jest trudna do samodzielnego wykonania.

Program Remote Command umożliwia atakującemu zdalne wykonanie kodu. Dotyczy to określonych produktów, modeli i wersji, które można znaleźć w podanym odnośniku.

Niektóre modele routerów ASUS mają podatność na obejście uwierzytelniania, co pozwala nieautoryzowanym zdalnym atakującym na zalogowanie się do urządzenia.

Drukarki Toshiba umożliwiają przesyłanie plików za pomocą interfejsu webowego dla administratorów. Atakujący może zdalnie skompromitować dowolną drukarkę Toshiba i nadpisać niebezpieczne pliki.

Drukarki Toshiba umożliwiają przesyłanie plików przez interfejs webowy bez uwierzytelnienia, co pozwala atakującemu na nadpisanie niebezpiecznych plików. Dodatkowo, drukarki te są podatne na lokalne eskalacje uprawnień, co umożliwia zdalne przejęcie kontroli nad urządzeniem.

Drukarki Toshiba wykorzystują SNMP do konfiguracji, co pozwala na zdalne wykonywanie poleceń jako root przy użyciu prywatnej społeczności. Wykorzystanie tej podatności umożliwia atakującemu uzyskanie dostępu root do zdalnej drukarki Toshiba.

Wtyczka CoDesigner WooCommerce Builder dla Elementor w wersjach do 4.4.1 jest podatna na wstrzyknięcie obiektów PHP poprzez deserializację niezaufanych danych z ciasteczka recently_viewed_products. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

Wtyczka Dokan Pro dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'code' we wszystkich wersjach do i włącznie z 3.10.3. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W podatności CVE-2024-36840 zidentyfikowano lukę typu SQL Injection w systemie zarządzania Boelter Blue w wersji 1.3. Umożliwia ona zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji poprzez parametry id w plikach news_details.php i location_details.php oraz parametr section w pliku services.php.

Podatność nieprawidłowej autoryzacji w Apache Submarine Server Core umożliwia atakującemu ominięcie uwierzytelnienia poprzez wysłanie specjalnie spreparowanych żądań REST. Projekt jest wycofany i nie planuje się wydania łatki.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na nieautoryzowane aktualizacje opcji z powodu braku sprawdzeń autoryzacji w wywołaniach REST API we wszystkich wersjach do i włącznie z 0.1.0.38. Umożliwia to nieautoryzowanym atakującym połączenie z API InstaWP, edytowanie dowolnych opcji witryny oraz tworzenie kont administratorów.

Wersja 9.5 biblioteki parisneo/lollms jest podatna na ataki Local File Inclusion (LFI) z powodu niewystarczającej sanitizacji ścieżek. Funkcja `sanitize_path_from_endpoint` nieprawidłowo sanitizuje ścieżki w stylu Windows, co umożliwia atakującym przeprowadzanie ataków typu directory traversal na systemach Windows.

Nieprawidłowa walidacja głębokich linków w aplikacji McAfee Security: Antivirus VPN dla systemu Android przed wersją 8.3.0 może umożliwić atakującemu uruchomienie dowolnego adresu URL w aplikacji.