CVE-Datenbank
Archiv bekannter Schwachstellen (CVEs) mit CVSS-Wert, Schweregrad, betroffenen Produkten und Herstellern. Nach Jahr und Schweregrad filterbar.
- CVE-2024-8957Hoch7.2
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an OS command injection issue. The camera does not sufficiently validate the ntp_addr configuration value which may lead to arbitrary command execution when ntp_client is started. When chained with CVE-2024-8956, a remote and unauthenticated attacker can execute arbitrary OS commands on affected devices.
- CVE-2024-8956Kritisch9.1
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an insufficient authentication issue. The camera does not properly enforce authentication to /cgi-bin/param.cgi when requests are sent without an HTTP Authorization header. The result is a remote and unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configurations details. Additionally, the attacker can update individual configuration values or overwrite the whole file.
- CVE-2024-45811Mittel4.8
Vite ist ein Frontend-Build-Tooling-Framework für JavaScript. In betroffenen Versionen können die Inhalte beliebiger Dateien an den Browser zurückgegeben werden. `@fs` verweigert den Zugriff auf Dateien außerhalb der Vite-Serving-Allow-Liste. Das Hinzufügen von `?import&raw` zur URL umgeht diese Einschränkung und gibt den Dateiinhalt zurück, sofern die Datei existiert. Dieses Problem wurde in den Versionen 5.4.6, 5.3.6, 5.2.14, 4.5.5 und 3.2.11 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Für diese Sicherheitslücke sind keine bekannten Umgehungslösungen vorhanden.
- CVE-2024-38813Hoch7.5
Der vCenter Server enthält eine Privilege-Escalation-Schwachstelle. Ein böswilliger Akteur mit Netzwerkzugriff auf vCenter Server kann diese Schwachstelle durch Senden eines speziell erstellten Netzwerkpakets auslösen, um Privilegien auf root zu eskalieren.
- CVE-2024-38812Kritisch9.8
Der vCenter Server enthält eine Heap-Overflow-Schwachstelle in der Implementierung des DCERPC-Protokolls. Ein böswilliger Akteur mit Netzwerkzugriff auf vCenter Server kann diese Schwachstelle durch Senden eines speziell erstellten Netzwerkpakets auslösen, was potenziell zur Remotecodeausführung führen kann.
- CVE-2024-6587Hoch7.5
Eine Server-Side Request Forgery (SSRF)-Schwachstelle existiert in berriai/litellm Version 1.38.10. Diese Schwachstelle ermöglicht es Benutzern, den Parameter `api_base` anzugeben, wenn sie Anfragen an `POST /chat/completions` stellen, wodurch die Anwendung die Anfrage an die von `api_base` angegebene Domain sendet. Diese Anfrage enthält den OpenAI API-Schlüssel. Ein böswilliger Benutzer kann `api_base` auf seine eigene Domain setzen und den OpenAI API-Schlüssel abfangen, was zu unbefugtem Zugriff und potenziellem Missbrauch des API-Schlüssels führt.
- CVE-2024-8190Hoch7.2
Eine OS-Command-Injection-Schwachstelle in Ivanti Cloud Services Appliance Versionen 4.6 Patch 518 und davor ermöglicht einem remote authentifizierten Angreifer, Remote Code Execution zu erlangen. Der Angreifer muss über Privilegien auf Admin-Ebene verfügen, um diese Schwachstelle auszunutzen.
- CVE-2024-43461Hoch8.8
Windows MSHTML Platform Spoofing Vulnerability
- CVE-2024-38226Hoch7.3
Microsoft Publisher Security Feature Bypass Vulnerability
- CVE-2024-38217Mittel5.4
Windows Mark of the Web Security Feature Bypass Vulnerability
- CVE-2024-38014Hoch7.8
Windows Installer Elevation of Privilege Vulnerability
- CVE-2024-40711Kritisch9.8
A deserialization of untrusted data vulnerability with a malicious payload can allow an unauthenticated remote code execution (RCE).
- CVE-2024-20439Kritisch9.8
A vulnerability in Cisco Smart Licensing Utility (CSLU) could allow an unauthenticated, remote attacker to log into an affected system by using a static administrative credential. This vulnerability is due to an undocumented static user credential for an administrative account. An attacker could exploit this vulnerability by using the static credentials to login to the affected system. A successful exploit could allow the attacker to login to the affected system with administrative rights over the CSLU application API.
- CVE-2024-45195Hoch7.5
Direct Request ('Forced Browsing') vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 18.12.16. Users are recommended to upgrade to version 18.12.16, which fixes the issue.
- CVE-2024-6670Kritisch9.8
In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
- CVE-2024-7941Mittel4.3
Ein HTTP-Parameter kann einen URL-Wert enthalten und könnte dazu führen, dass die Webanwendung die Anfrage an die angegebene URL umleitet. Durch Ändern des URL-Werts auf eine bösartige Website kann ein Angreifer erfolgreich einen Phishing-Betrug starten und Benutzeranmeldedaten stehlen.
- CVE-2024-7940Hoch8.3
Das Produkt legt einen Dienst, der nur für lokal vorgesehen ist, auf allen Netzwerkschnittstellen ohne Authentifizierung offen.
- CVE-2024-4872Kritisch9.9
Es besteht eine Schwachstelle in der Abfragevalidierung des Produkts MicroSCADA Pro/X SYS600. Bei Ausnutzung könnte dies einem authentifizierten Angreifer ermöglichen, Code in persistente Daten einzuschleusen. Beachten Sie, dass ein Angreifer zur erfolgreichen Ausnutzung dieser Schwachstelle über gültige Anmeldedaten verfügen muss.
- CVE-2024-3982Hoch8.2
Ein Angreifer mit lokalem Zugriff auf die Maschine, auf der MicroSCADA X SYS600 installiert ist, könnte die vom Produkt unterstützte Sitzungsprotokollierung aktivieren und versuchen, ein Session Hijacking einer bereits etablierten Sitzung auszunutzen. Standardmäßig ist die Sitzungsprotokollierungsebene nicht aktiviert und nur Benutzer mit Administratorrechten können sie aktivieren.
- CVE-2024-3980Kritisch9.9
Das MicroSCADA Pro/X SYS600-Produkt ermöglicht es einer authentifizierten Benutzereingabe, Pfade oder Dateinamen zu steuern oder zu beeinflussen, die in Dateisystemoperationen verwendet werden. Bei Ausnutzung ermöglicht die Schwachstelle dem Angreifer, auf Systemdateien oder andere für die Anwendung kritische Dateien zuzugreifen oder diese zu ändern.
This product uses the NVD API but is not endorsed or certified by the NVD.