NiceJob <= 3.6.5 — 经过身份验证 (Contributor+) 存储的跨站点脚本 (CVE-2024-10887) CVE编号 CVE-2024-10887 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的NiceJob插件存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞存在于插件的几个短代码（nicejob-lead、nicejob-review、nicejob-engage、nicejob-badg…
AJAX 登录和注册模式弹出窗口 + 内联表单 <= 2.24 - 反射式跨站点脚本 (CVE-2024-8874) CVE编号 CVE-2024-8874 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的AJAX登录和注册弹窗+内联表单插件存在反射跨站脚本漏洞，该漏洞存在于所有版本至包括2.24版本中的URL使用add_query_arg函数而没有进行适当的转义处理。这使得未经身份验证的攻击者能够在页面中注入任意Web脚本，如果攻击者能够成功诱使用户执行某个…
社会证明（推荐）滑块 <= 2.2.4 - 通过 spslider-block 短代码进行身份验证（贡献者+）存储的跨站点脚本（CVE-2024-8985） CVE编号 CVE-2024-8985 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的Social Proof（Testimonial）Slider插件存在存储型跨站脚本漏洞。该漏洞存在于插件的spslider-block短代码上，影响所有版本至包括（含）2.2.4版本。由于对用户提供的属性输入清理和输…
Aqua SVG Sprite <= 3.0.14 - 通过 SVG 文件上传进行身份验证 (Author+) 存储跨站点脚本 (CVE-2024-9426) CVE编号 CVE-2024-9426 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的Aqua SVG Sprite插件存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），该漏洞存在于所有版本，包括至3.0.14版本。原因是输入清理和输出转义不足够充分，导致授权攻击者能够…
隐藏链接 <= 1.4.2 - 未经身份验证的短代码执行 (CVE-2024-9578) CVE编号 CVE-2024-9578 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress的Hide Links插件存在未经授权的短代码执行漏洞，因为在所有版本（包括1.4.2版本）中，do_shortcode通过comment_text过滤器挂钩。这使得未经身份验证的攻击者能够执行目标网站上可用的任意短代码。 解决建议 建议您更新当前系统或软件至最新版，完成漏洞的修复。 参考…
MailMunch <= 2.1.2 的 Constant Contact Forms - 反射式跨站点脚本 (CVE-2024-9614) CVE编号 CVE-2024-9614 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 MailMunch插件的WordPress恒定联系表单功能在版本2.1.2及以下的所有版本中，由于未对URL使用适当的转义处理，存在反射跨站脚本漏洞。这使得未经身份验证的攻击者有可能在页面上注入任意Web脚本，如果攻击者成功诱使用户执行某个操作（例如点击链…
Kognetiks Chatbot for WordPress <= 2.1.7 - 缺少对经过身份验证的（订阅者+）助手删除的授权（CVE-2024-10529） CVE编号 CVE-2024-10529 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress的Kognetiks Chatbot插件存在数据未经授权修改的风险，原因是所有版本（包括2.1.7在内）的delete_assistant()函数中缺少权限检查。这使得拥有订阅者级别及以上权限的认证攻击者有可能删…
Kognetiks Chatbot for WordPress <= 2.1.7 - 缺少对经过身份验证的（订阅者+）助手附加的授权（CVE-2024-10530） CVE编号 CVE-2024-10530 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress的Kognetiks Chatbot插件存在数据未经授权修改的风险，原因是add_new_assistant()函数中缺少权限检查功能，所有版本直至并包括2.1.7都存在此漏洞。这使得拥有订阅者级别访问权限及以上…
Kognetiks Chatbot for WordPress <= 2.1.7 - 缺少对经过身份验证的（Subscriber+）助手更新的授权（CVE-2024-10531） CVE编号 CVE-2024-10531 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的Kognetiks Chatbot插件存在数据未经授权修改的风险，这是由于在更新至包括及不超过2.1.7的所有版本中，update_assistant()函数缺少权限检查。这使得具有订阅者级别及…
WPForms – 适用于 WordPress <= 1.9.1.6 的简易表单生成器 - 跨站请求伪造 (CSRF) 导致插件日志删除 (CVE-2024-10593) CVE编号 CVE-2024-10593 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的WPForms插件（用于WordPress的简易表单构建器，包括联系表单、支付表单、调查表等）在所有的版本（包括并直至版本1.9.1.6）中都存在跨站请求伪造（Cross-Site Request Fo…
Kognetiks Chatbot for WordPress <= 2.1.7 - 反射式跨站脚本 (CVE-2024-10684) CVE编号 CVE-2024-10684 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress的Kognetiks Chatbot插件存在反射型跨站脚本漏洞，该漏洞存在于所有版本至包括2.1.7的'dir'参数中，由于输入清理和输出转义不足，导致未经身份验证的攻击者可以在页面上注入任意Web脚本，如果攻击者能够成功诱使用户执行某个操作…
WooCommerce - Lite <= 2.8.0 的产品交付日期 - 反映跨站点脚本 (CVE-2024-10882) CVE编号 CVE-2024-10882 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 针对WordPress的WooCommerce - Lite插件的产品交付日期存在反射型跨站脚本漏洞，该漏洞是由于在版本2.8.0及之前所有版本中，使用add_query_arg和remove_query_arg函数处理URL时未进行适当的转义操作导致的。这使得未经身份…
Kognetiks Chatbot for WordPress <= 2.1.8 - 跨站请求伪造至经过身份验证的 (Subscriber+) 助手修改 (CVE-2024-11143) CVE编号 CVE-2024-11143 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress的Kognetiks Chatbot插件在包括2.1.8版本在内的所有版本中，都存在跨站请求伪造（Cross-Site Request Forgery）漏洞。这是由于在update_assi…
WP Project Manager - 具有看板和甘特图的任务、团队和项目管理插件 <= 2.6.13 - 对未经身份验证的授权绕过的不安全直接对象引用 (CVE-2024-10174) CVE编号 CVE-2024-10174 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 WordPress中的项目管理插件WP Project Manager（具有看板和任务甘特图功能）在包括2.6.13版本在内的所有版本中，由于“user_id”用户控制键缺少验证，导致存在不安全的直接对象引…
CNVD-ID CNVD-2024-44526 公开日期 2024-11-13 危害级别 中 (AV:L/AC:L/Au:S/C:C/I:C/A:C) 影响产品 Microsoft Microsoft SharePoint Server 2019 Microsoft Microsoft SharePoint Enterprise Server 2016 Microsoft Microsoft SharePoint Server Subscription Edition CVE ID CVE-2024-43503 漏…
CNVD-ID CNVD-2024-44529 公开日期 2024-11-13 危害级别 高 (AV:L/AC:L/Au:N/C:C/I:C/A:C) 影响产品 Adobe Dimension <=4.0.3 CVE ID CVE-2024-45150 漏洞描述 Adobe Dimension是美国奥多比（Adobe）公司的是一套2D和3D合成设计工具。 Adobe Dimension存在越界写入漏洞，攻击者可利用该漏洞执行任意代码。 漏洞类型 通用型漏洞 参考链接 https://helpx.adobe.c…
CNVD-ID CNVD-2024-44530 公开日期 2024-11-13 危害级别 高 (AV:L/AC:L/Au:N/C:C/I:C/A:C) 影响产品 Adobe Dimension <=4.0.3 CVE ID CVE-2024-45146 漏洞描述 Adobe Dimension是美国奥多比（Adobe）公司的是一套2D和3D合成设计工具。 Adobe Dimension存在内存错误引用漏洞，攻击者可利用该漏洞执行任意代码。 漏洞类型 通用型漏洞 参考链接 https://helpx.adobe…
CNVD-ID CNVD-2024-44527 公开日期 2024-11-13 危害级别 高 (AV:L/AC:L/Au:N/C:C/I:C/A:C) 影响产品 Bento4 Bento4 1.6.0-641 CVE ID CVE-2024-31004 漏洞描述 Bento4是一款用于读写MP4文件的开源的C++库。 Bento4 Ap4StsdAtom.cpp文件存在代码执行漏洞，该漏洞源于Ap4StsdAtom.cpp文件的AP4_StsdAtom::AP4_StsdAtom方法未能正确过滤构造代码段的特殊元素…
CNVD-ID CNVD-2024-44528 公开日期 2024-11-13 危害级别 高 (AV:N/AC:L/Au:N/C:C/I:C/A:C) 影响产品 Bento4 Bento4 4.1.6.0641 CVE ID CVE-2024-31002 漏洞描述 Bento4是一款用于读写MP4文件的开源的C++库。 Bento4 Ap4Utils.cpp文件存在缓冲区溢出漏洞，该漏洞源于Ap4Utils.cpp文件的AP4_BitReader::ReadCache方法未能正确验证输入数据的长度大小，远程攻击者可…
CNVD-ID CNVD-2024-44525 公开日期 2024-11-13 危害级别 高 (AV:N/AC:H/Au:N/C:C/I:C/A:C) 影响产品 Microsoft Windows Server 2022 23H2 Edition (Server Core installation) CVE ID CVE-2024-38029 漏洞描述 Microsoft OpenSSH是美国微软（Microsoft）公司的一套用于安全访问远程计算机的连接工具。 Microsoft OpenSSH for Wind…
CNVD-ID CNVD-2024-44524 公开日期 2024-11-13 危害级别 高 (AV:L/AC:L/Au:N/C:C/I:C/A:C) 影响产品 Microsoft Microsoft DeepSpeed CVE ID CVE-2024-43497 漏洞描述 Microsoft DeepSpeed是美国微软（Microsoft）公司的一款易于使用的深度学习优化软件套件，可为DL训练和推理提供前所未有的规模和速度。 Microsoft DeepSpeed存在远程代码执行漏洞，攻击者可利用该漏洞在系统上…
CNVD-ID CNVD-2024-44523 公开日期 2024-11-13 危害级别 中 (AV:L/AC:L/Au:S/C:N/I:C/A:C) 影响产品 Microsoft Azure Monitor Agent CVE ID CVE-2024-38097 漏洞描述 Microsoft Azure Monitor Agent是一个轻量级代理程序，可安装在Azure或本地环境中的服务器或虚拟机上。 Microsoft Azure Monitor Agent存在权限提升漏洞，该漏洞是由Monitor Agent…
CNVD-ID CNVD-2024-44520 公开日期 2024-11-12 危害级别 高 (AV:N/AC:H/Au:N/C:C/I:C/A:C) 影响产品 Microsoft Visual Studio 2022 17.0 Microsoft Visual Studio 2022 17.6 Microsoft .NET 8.0 Microsoft Visual Studio 2022 17.8 Microsoft Visual Studio 2022 17.11 CVE ID CVE-2024-38229 漏…
CNVD-ID CNVD-2024-44516 公开日期 2024-11-12 危害级别 中 (AV:L/AC:L/Au:N/C:C/I:C/A:N) 影响产品 Microsoft Outlook for macOS 16.83.3 CVE ID CVE-2024-42220 漏洞描述 Microsoft Outlook是美国微软（Microsoft）公司的一套电子邮件应用程序。 Microsoft Outlook for macOS存在安全绕过漏洞，攻击者可以利用此漏洞进行权限绕过。 漏洞类型 通用型漏洞 参考链…
IPv6 和 IPvFuture 地址验证不当（CVE-2024-11168） CVE编号 CVE-2024-11168 利用情况 暂无 补丁情况 N/A 披露时间 2024-11-13 漏洞描述 urllib.parse.urlsplit()和urlparse()函数在处理带有方括号的主机（[]）时验证不当，允许非IPv6或IPvFuture的主机存在。这种行为不符合RFC 3986标准，如果URL被多个URL解析器处理，可能会潜在地引发服务端请求伪造（SSRF）风险。 解决建议 建议您更新当前系统或软件至最新版…