Katalog podatności CVE

Podatność SQL Injection w systemie UniFi OS umożliwia atakującemu z dostępem do sieci i niskimi uprawnieniami eskalację uprawnień na urządzeniach lub instancjach z tym systemem.

Podatność typu Path Traversal w urządzeniach z systemem UniFi OS umożliwia osobie atakującej z dostępem do sieci ominięcie uwierzytelniania. Luka występuje w określonych urządzeniach lub instancjach działających pod kontrolą UniFi OS.

Podatność SSRF w systemie UniFi OS umożliwia atakującemu z dostępem do sieci i niskimi uprawnieniami eskalację przywilejów na urządzeniu lub w instancji.

Podatność w sterowniku `GFAC_Sys_x64.sys` firmy Little Orbit GFAC wynika z nieprawidłowej walidacji danych. Lokalny atakujący może eskalować uprawnienia do SYSTEM i wykonać dowolny kod w trybie jądra poprzez spreparowane wiadomości wysłane przez port komunikacyjny Minifilter.

Podatność w sterowniku `GFAC_Sys_x64.sys` firmy Little Orbit GFAC umożliwia lokalnemu atakującemu dostęp do uprzywilejowanych funkcji sterownika poprzez port komunikacyjny Minifilter, który nie ma odpowiednich ograniczeń dostępu.

Podatność w luci-app-travelmate i pakiecie travelmate umożliwia eskalację uprawnień. Posiadacz sesji z uprawnieniami do zapisu UCI może ustawić dowolny skrypt i argumenty, które zostaną wykonane jako root przez usługę travelmate. Ograniczenie interfejsu do katalogu /etc/travelmate/*.login jest tylko frontendowe.

Wtyczka WPIDE – File Manager & Code Editor w wersji 3.5.6 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście administratora witryny.

Wtyczka WP EasyCart dla WordPressa w wersji 5.9.0 i starszych zawiera podatność na wstrzykiwanie SQL przez atrybut 'contributor'. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.

Wtyczka SEOWP w wersji 3.12.2 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może nakłonić administratora do wykonania niezamierzonych działań bez jego wiedzy.

Wtyczka ProfileGrid w wersji 5.9.9.7 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może nakłonić zalogowanego administratora do wykonania niepożądanych działań bez jego wiedzy.

Wtyczka Permalink Manager dla WooCommerce w wersji 1.0.8.2 i starszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) bez wymaganego uwierzytelnienia. Atakujący może nakłonić zalogowanego administratora do wykonania niepożądanych działań bez jego wiedzy.

Wtyczka pCloud WP Backup w wersji 2.0.2 i starszych zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF) bez wymaganego uwierzytelnienia. Atakujący może nakłonić administratora do wykonania niezamierzonych działań w panelu administracyjnym WordPressa.

Wtyczka nicen-localize-image w wersji 1.4.9 i starszych zawiera podatność na wstrzykiwanie SQL w komponencie Contributor. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.

Podatność SQL Injection w komponencie Contributor w iNET Webkit 1.2.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.

Wtyczka Heateor Social Login w wersji 1.1.39 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka SportsPress Pro w wersji 2.7.29 i starszych zawiera podatność na lokalne dołączanie plików (LFI) przez współtwórcę. Umożliwia to atakującemu z uprawnieniami współtwórcy odczyt wrażliwych plików na serwerze.

Wtyczka Shopify w wersji 1.0.0 i starszych zawiera podatność na lokalne dołączanie plików (LFI) przez funkcję Contributor. Umożliwia to atakującemu odczyt wrażliwych plików na serwerze.

Wtyczka Booked w wersji 3.0.0 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Osoba z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla wyższych ról.

Podatność w systemie POS Entegratör w wersjach do 3.7.103 umożliwia nieuwierzytelnionym atakującym złamanie kontroli dostępu. Oznacza to, że osoba bez ważnych poświadczeń może uzyskać nieautoryzowany dostęp do funkcji lub danych systemu.

Wtyczka Custom Field Template dla WordPressa w wersji 2.7.8 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórcę. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL do bazy danych.