Base de données CVE
Archive des vulnérabilités connues (CVE) avec score CVSS, gravité, produits et éditeurs concernés. Filtrez par année et par sévérité.
- CVE-2024-43468Critique9.8
Microsoft Configuration Manager Remote Code Execution Vulnerability
- CVE-2024-9380Élevée7.2
Une vulnérabilité d'injection de commandes OS dans la console web d'administration d'Ivanti CSA avant la version 5.0.2 permet à un attaquant distant authentifié disposant de privilèges administrateur d'obtenir une exécution de code à distance.
- CVE-2024-9379Moyenne6.5
SQL injection in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to run arbitrary SQL statements.
- CVE-2024-43047Élevée7.8
Memory corruption while maintaining memory maps of HLOS memory.
- CVE-2024-45519Critique10.0
Le service postjournal dans Zimbra Collaboration (ZCS) avant 8.8.15 Patch 46, 9 avant 9.0.0 Patch 41, 10 avant 10.0.9, et 10.1 avant 10.1.1 permet parfois aux utilisateurs non authentifiés d'exécuter des commandes.
- CVE-2024-8963Critique9.4
Path Traversal dans Ivanti CSA avant 4.6 Patch 519 permet à un attaquant distant non authentifié d'accéder à des fonctionnalités restreintes.
- CVE-2024-8957Élevée7.2
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an OS command injection issue. The camera does not sufficiently validate the ntp_addr configuration value which may lead to arbitrary command execution when ntp_client is started. When chained with CVE-2024-8956, a remote and unauthenticated attacker can execute arbitrary OS commands on affected devices.
- CVE-2024-8956Critique9.1
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an insufficient authentication issue. The camera does not properly enforce authentication to /cgi-bin/param.cgi when requests are sent without an HTTP Authorization header. The result is a remote and unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configurations details. Additionally, the attacker can update individual configuration values or overwrite the whole file.
- CVE-2024-45811Moyenne4.8
Vite un framework d'outillage de build frontend pour javascript. Dans les versions affectées, le contenu de fichiers arbitraires peut être renvoyé au navigateur. `@fs` refuse l'accès aux fichiers en dehors de la liste d'autorisation de serving de Vite. L'ajout de `?import&raw` à l'URL contourne cette limitation et renvoie le contenu du fichier s'il existe. Ce problème a été corrigé dans les versions 5.4.6, 5.3.6, 5.2.14, 4.5.5 et 3.2.11. Il est conseillé aux utilisateurs de mettre à jour. Il n'existe aucune solution de contournement connue pour cette vulnérabilité.
- CVE-2024-38813Élevée7.5
Le vCenter Server contient une vulnérabilité d'élévation de privilèges. Un acteur malveillant disposant d'un accès réseau à vCenter Server peut exploiter cette vulnérabilité pour élever les privilèges au niveau root en envoyant un paquet réseau spécialement conçu.
- CVE-2024-38812Critique9.8
Le vCenter Server contient une vulnérabilité heap-overflow dans l'implémentation du protocole DCERPC. Un acteur malveillant disposant d'un accès réseau à vCenter Server peut déclencher cette vulnérabilité en envoyant un paquet réseau spécialement conçu, pouvant potentiellement conduire à une exécution de code à distance.
- CVE-2024-6587Élevée7.5
Une vulnérabilité de type Server-Side Request Forgery (SSRF) existe dans berriai/litellm version 1.38.10. Cette vulnérabilité permet aux utilisateurs de spécifier le paramètre `api_base` lors de requêtes vers `POST /chat/completions`, amenant l'application à envoyer la requête au domaine spécifié par `api_base`. Cette requête inclut la clé API OpenAI. Un utilisateur malveillant peut définir `api_base` sur son propre domaine et intercepter la clé API OpenAI, entraînant un accès non autorisé et une utilisation abusive potentielle de la clé API.
- CVE-2024-8190Élevée7.2
Une vulnérabilité d'injection de commandes OS dans Ivanti Cloud Services Appliance versions 4.6 Patch 518 et antérieures permet à un attaquant distant authentifié d'obtenir une exécution de code à distance. L'attaquant doit disposer de privilèges de niveau administrateur pour exploiter cette vulnérabilité.
- CVE-2024-43461Élevée8.8
Windows MSHTML Platform Spoofing Vulnerability
- CVE-2024-38226Élevée7.3
Microsoft Publisher Security Feature Bypass Vulnerability
- CVE-2024-38217Moyenne5.4
Windows Mark of the Web Security Feature Bypass Vulnerability
- CVE-2024-38014Élevée7.8
Windows Installer Elevation of Privilege Vulnerability
- CVE-2024-40711Critique9.8
A deserialization of untrusted data vulnerability with a malicious payload can allow an unauthenticated remote code execution (RCE).
- CVE-2024-20439Critique9.8
A vulnerability in Cisco Smart Licensing Utility (CSLU) could allow an unauthenticated, remote attacker to log into an affected system by using a static administrative credential. This vulnerability is due to an undocumented static user credential for an administrative account. An attacker could exploit this vulnerability by using the static credentials to login to the affected system. A successful exploit could allow the attacker to login to the affected system with administrative rights over the CSLU application API.
- CVE-2024-45195Élevée7.5
Direct Request ('Forced Browsing') vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 18.12.16. Users are recommended to upgrade to version 18.12.16, which fixes the issue.
This product uses the NVD API but is not endorsed or certified by the NVD.