Base de datos CVE
Archivo de vulnerabilidades conocidas (CVE) con puntuación CVSS, gravedad, productos y fabricantes afectados. Filtra por año y severidad.
- CVE-2024-8957Alta7.2
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an OS command injection issue. The camera does not sufficiently validate the ntp_addr configuration value which may lead to arbitrary command execution when ntp_client is started. When chained with CVE-2024-8956, a remote and unauthenticated attacker can execute arbitrary OS commands on affected devices.
- CVE-2024-8956Crítica9.1
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an insufficient authentication issue. The camera does not properly enforce authentication to /cgi-bin/param.cgi when requests are sent without an HTTP Authorization header. The result is a remote and unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configurations details. Additionally, the attacker can update individual configuration values or overwrite the whole file.
- CVE-2024-45811Media4.8
Vite es un framework de herramientas de compilación frontend para javascript. En las versiones afectadas, el contenido de archivos arbitrarios puede ser devuelto al navegador. `@fs` deniega el acceso a archivos fuera de la lista de archivos permitidos de Vite. Añadir `?import&raw` a la URL elude esta limitación y devuelve el contenido del archivo si existe. Este problema se ha corregido en las versiones 5.4.6, 5.3.6, 5.2.14, 4.5.5 y 3.2.11. Se recomienda a los usuarios actualizar. No se conocen medidas alternativas para esta vulnerabilidad.
- CVE-2024-38813Alta7.5
vCenter Server contiene una vulnerabilidad de escalada de privilegios. Un actor malicioso con acceso de red a vCenter Server puede desencadenar esta vulnerabilidad para escalar privilegios a root mediante el envío de un paquete de red especialmente diseñado.
- CVE-2024-38812Crítica9.8
El vCenter Server contiene una vulnerabilidad heap-overflow en la implementación del protocolo DCERPC. Un actor malicioso con acceso de red a vCenter Server puede desencadenar esta vulnerabilidad enviando un paquete de red especialmente diseñado que podría conducir a la ejecución remota de código.
- CVE-2024-6587Alta7.5
Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en berriai/litellm versión 1.38.10. Esta vulnerabilidad permite a los usuarios especificar el parámetro `api_base` al realizar solicitudes a `POST /chat/completions`, lo que hace que la aplicación envíe la solicitud al dominio especificado por `api_base`. Esta solicitud incluye la clave de API de OpenAI. Un usuario malicioso puede establecer `api_base` en su propio dominio e interceptar la clave de API de OpenAI, lo que conduce a un acceso no autorizado y a un posible uso indebido de la clave de API.
- CVE-2024-8190Alta7.2
Una vulnerabilidad de inyección de comandos del sistema operativo en Ivanti Cloud Services Appliance versiones 4.6 Patch 518 y anteriores permite a un atacante remoto autenticado obtener ejecución remota de código. El atacante debe tener privilegios de nivel administrador para explotar esta vulnerabilidad.
- CVE-2024-43461Alta8.8
Windows MSHTML Platform Spoofing Vulnerability
- CVE-2024-38226Alta7.3
Microsoft Publisher Security Feature Bypass Vulnerability
- CVE-2024-38217Media5.4
Windows Mark of the Web Security Feature Bypass Vulnerability
- CVE-2024-38014Alta7.8
Windows Installer Elevation of Privilege Vulnerability
- CVE-2024-40711Crítica9.8
A deserialization of untrusted data vulnerability with a malicious payload can allow an unauthenticated remote code execution (RCE).
- CVE-2024-20439Crítica9.8
A vulnerability in Cisco Smart Licensing Utility (CSLU) could allow an unauthenticated, remote attacker to log into an affected system by using a static administrative credential. This vulnerability is due to an undocumented static user credential for an administrative account. An attacker could exploit this vulnerability by using the static credentials to login to the affected system. A successful exploit could allow the attacker to login to the affected system with administrative rights over the CSLU application API.
- CVE-2024-45195Alta7.5
Direct Request ('Forced Browsing') vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 18.12.16. Users are recommended to upgrade to version 18.12.16, which fixes the issue.
- CVE-2024-6670Crítica9.8
In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
- CVE-2024-7941Media4.3
Un parámetro HTTP puede contener un valor URL y podría provocar que la aplicación web redirija la solicitud a la URL especificada. Al modificar el valor URL a un sitio malicioso, un atacante puede lanzar con éxito una estafa de phishing y robar credenciales de usuario.
- CVE-2024-7940Alta8.3
El producto expone un servicio destinado solo para uso local a todas las interfaces de red sin ninguna autenticación.
- CVE-2024-4872Crítica9.9
Existe una vulnerabilidad en la validación de consultas del producto MicroSCADA Pro/X SYS600. Si se explota, esto podría permitir a un atacante autenticado inyectar código hacia datos persistentes. Tenga en cuenta que para explotar con éxito esta vulnerabilidad un atacante debe tener una credencial válida.
- CVE-2024-3982Alta8.2
Un atacante con acceso local a la máquina donde está instalado MicroSCADA X SYS600 podría habilitar el registro de sesiones soportado por el producto e intentar explotar un session hijacking de una sesión ya establecida. Por defecto, el nivel de registro de sesiones no está habilitado y solo los usuarios con derechos de administrador pueden habilitarlo.
- CVE-2024-3980Crítica9.9
El producto MicroSCADA Pro/X SYS600 permite que la entrada de un usuario autenticado controle o influya en las rutas o los nombres de archivo utilizados en operaciones del sistema de archivos. Si se explota, la vulnerabilidad permite al atacante acceder a archivos del sistema u otros archivos críticos para la aplicación o modificarlos.
This product uses the NVD API but is not endorsed or certified by the NVD.