KATALOG PODATNOŚCI
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
The snailjob component in RuoYi-Vue-Plus versions 5.5.1 and earlier, interface /snail-job/workflow/check-node-expression can execute QLExpress expressions, but it does not filter user input, allowing attackers to use the File class to perform arbitrary file…
An issue was discovered in Panda Wireless PWRU0 devices with firmware 2.2.9 that exposes multiple HTTP endpoints (/goform/setWan, /goform/setLan, /goform/wirelessBasic) that do not enforce authentication. A remote unauthenticated attacker can modify WAN,…
Unrestricted file upload in the hotel review feature in QloApps versions 1.7.0 and earlier allows remote unauthenticated attackers to achieve remote code execution.
OPEXUS eCasePortal before version 9.0.45.0 allows an unauthenticated attacker to navigate to the 'Attachments.aspx' endpoint, iterate through predictable values of 'formid', and download or delete all user-uploaded files, or upload new files.
Wykonanie zdalnego kodu przez administratora kopii zapasowej w wyniku złośliwego hasła.
Luka umożliwia operatorowi kopii zapasowej zapis plików jako root.
Wykonanie zdalnego kodu przez operatora kopii zapasowej w PostgreSQL poprzez złośliwy parametr.
indieka900 online-shopping-system-php 1.0 is vulnerable to SQL Injection in master/review_action.php via the proId parameter.
There is an issue on the /PSP/appNET/Store/CartV12.aspx/GetUnitPrice endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.69) that enables remote attacker to create financial discrepancies by purchasing items with a negative…
SQL Injection is present on the hfInventoryDistFormID parameter in the /PSP/appNET/Store/CartV12.aspx/GetUnitPrice endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.69). Unsanitized user input is incorporated directly into…
Luka w systemie backupowym umożliwia zdalne wykonanie kodu jako root przez złośliwy plik konfiguracyjny.
An issue was discovered in the AppConnector component version 10.10.0.183 and earlier of enaio 10.10, in the AppConnector component version 11.0.0.183 and earlier of enaio 11.0, and in the AppConnctor component version 11.10.0.183 and earlier of enaio 11.10.…
Snuffleupagus is a module that raises the cost of attacks against website by killing bug classes and providing a virtual patching system. On deployments of Snuffleupagus prior to version 0.13.0 with the non-default upload validation feature enabled and…
RustFS is a distributed object storage system built in Rust. In versions 1.0.0-alpha.13 through 1.0.0-alpha.78, a flawed `deny_only` short-circuit in RustFS IAM allows a restricted service account or STS credential to self-issue an unrestricted service…
ZimaOS is a fork of CasaOS, an operating system for Zima devices and x86-64 systems with UEFI. In versions up to and including 1.5.0, the application checks the validity of the username but appears to skip, misinterpret, or incorrectly validate the password…
Luka w LoadLibraryEX w Trend Micro Apex Central pozwala na zdalne wykonanie kodu jako SYSTEM.
Ujawnienie domyślnego hasła SSH w Harvesterze może prowadzić do nieautoryzowanego dostępu.
Nieograniczony upload niebezpiecznych plików w Corpkit umożliwia wgranie powłoki sieciowej.
Wstrzyknięcie SQL w Automotive Listings umożliwia przeprowadzenie ataku typu Blind SQL Injection.
Nieograniczony upload niebezpiecznych plików w Contentstudio umożliwia wgranie powłoki sieciowej.
Deserializacja niezaufanych danych w Tribulant Software Newsletters umożliwia wstrzyknięcie obiektów.
Obejście uwierzytelnienia w RiceTheme Felan Framework umożliwia nadużycie dostępu.
Wstrzyknięcie SQL w Felan Framework umożliwia atakującym manipulację bazą danych.
A vulnerability was determined in code-projects Intern Membership Management System 1.0. Affected is an unknown function of the file /intern/admin/check_admin.php. Executing a manipulation of the argument Username can lead to sql injection. The attack can be…
The WP Cost Estimation plugin for WordPress is vulnerable to arbitrary file uploads and deletion due to missing file type validation in the lfb_upload_form and lfb_removeFile AJAX actions in versions up to, and including, 9.642. This makes it possible for…
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2025-66916 The snailjob component in RuoYi-Vue-Plus versions 5.5.1 and earlier, interface /snail-job/workflow/check-node-expression can execute QLExpress expressions, but it does not filter user… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,4EPSS 0,73 % | ||
| CVE-2025-68715 An issue was discovered in Panda Wireless PWRU0 devices with firmware 2.2.9 that exposes multiple HTTP endpoints (/goform/setWan, /goform/setLan, /goform/wirelessBasic) that do not enforce… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,1EPSS 0,71 % | ||
| CVE-2025-67325 Unrestricted file upload in the hotel review feature in QloApps versions 1.7.0 and earlier allows remote unauthenticated attackers to achieve remote code execution. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,91 % | ||
| CVE-2026-22234 OPEXUS eCasePortal before version 9.0.45.0 allows an unauthenticated attacker to navigate to the 'Attachments.aspx' endpoint, iterate through predictable values of 'formid', and download… |
Wysoki priorytet |
CVSS 9,3EPSS 0,41 % | ||
| CVE-2025-59468 Wykonanie zdalnego kodu przez administratora kopii zapasowej w wyniku złośliwego hasła. |
Wysoki priorytet |
CVSS 9,1EPSS 1,18 % | ||
| CVE-2025-59469 Luka umożliwia operatorowi kopii zapasowej zapis plików jako root. |
Wysoki priorytet |
CVSS 9,0EPSS 0,72 % | ||
| CVE-2025-59470 Wykonanie zdalnego kodu przez operatora kopii zapasowej w PostgreSQL poprzez złośliwy parametr. |
Wysoki priorytet |
CVSS 9,0EPSS 1,55 % | ||
| CVE-2025-61246 indieka900 online-shopping-system-php 1.0 is vulnerable to SQL Injection in master/review_action.php via the proId parameter. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,43 % | ||
| CVE-2025-61546 There is an issue on the /PSP/appNET/Store/CartV12.aspx/GetUnitPrice endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.69) that enables remote attacker… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,1EPSS 0,54 % | ||
| CVE-2025-61548 SQL Injection is present on the hfInventoryDistFormID parameter in the /PSP/appNET/Store/CartV12.aspx/GetUnitPrice endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,55 % | ||
| CVE-2025-55125 Luka w systemie backupowym umożliwia zdalne wykonanie kodu jako root przez złośliwy plik konfiguracyjny. |
Wysoki priorytet |
CVSS 9,8EPSS 0,98 % | ||
| CVE-2025-56425 An issue was discovered in the AppConnector component version 10.10.0.183 and earlier of enaio 10.10, in the AppConnector component version 11.0.0.183 and earlier of enaio 11.0, and in the… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,1EPSS 0,74 % | ||
| CVE-2026-22034 Snuffleupagus is a module that raises the cost of attacks against website by killing bug classes and providing a virtual patching system. On deployments of Snuffleupagus prior to version… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,71 % | ||
| CVE-2026-22043 RustFS is a distributed object storage system built in Rust. In versions 1.0.0-alpha.13 through 1.0.0-alpha.78, a flawed `deny_only` short-circuit in RustFS IAM allows a restricted service… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,42 % | ||
| CVE-2026-21891 ZimaOS is a fork of CasaOS, an operating system for Zima devices and x86-64 systems with UEFI. In versions up to and including 1.5.0, the application checks the validity of the username… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 2,32 % | ||
| CVE-2025-69258 Luka w LoadLibraryEX w Trend Micro Apex Central pozwala na zdalne wykonanie kodu jako SYSTEM. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 3,57 % | ||
| CVE-2025-62877 Ujawnienie domyślnego hasła SSH w Harvesterze może prowadzić do nieautoryzowanego dostępu. |
Wysoki priorytet |
CVSS 9,8EPSS 0,51 % | ||
| CVE-2025-67924 Nieograniczony upload niebezpiecznych plików w Corpkit umożliwia wgranie powłoki sieciowej. |
Wysoki priorytet |
CVSS 9,9EPSS 0,39 % | ||
| CVE-2025-67928 Wstrzyknięcie SQL w Automotive Listings umożliwia przeprowadzenie ataku typu Blind SQL Injection. |
Wysoki priorytet |
CVSS 9,3EPSS 0,34 % | ||
| CVE-2025-67910 Nieograniczony upload niebezpiecznych plików w Contentstudio umożliwia wgranie powłoki sieciowej. |
Wysoki priorytet |
CVSS 9,1EPSS 0,41 % | ||
| CVE-2025-67911 Deserializacja niezaufanych danych w Tribulant Software Newsletters umożliwia wstrzyknięcie obiektów. |
Wysoki priorytet |
CVSS 9,8EPSS 0,46 % | ||
| CVE-2025-23504 Obejście uwierzytelnienia w RiceTheme Felan Framework umożliwia nadużycie dostępu. |
Wysoki priorytet |
CVSS 9,8EPSS 0,49 % | ||
| CVE-2025-23993 Wstrzyknięcie SQL w Felan Framework umożliwia atakującym manipulację bazą danych. |
Wysoki priorytet |
CVSS 9,3EPSS 0,4 % | ||
| CVE-2026-0700 A vulnerability was determined in code-projects Intern Membership Management System 1.0. Affected is an unknown function of the file /intern/admin/check_admin.php. Executing a manipulation… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,44 % | ||
| CVE-2019-25296 The WP Cost Estimation plugin for WordPress is vulnerable to arbitrary file uploads and deletion due to missing file type validation in the lfb_upload_form and lfb_removeFile AJAX actions… |
Wysoki priorytet |
CVSS 9,8EPSS 0,69 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 11.11.2026, 11:32 UTC – 11.11.2026, 13:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.