CVE-2026-29186
Obejście konfiguracji w Backstage umożliwia zdalne wykonanie dowolnego kodu.
Wysoki priorytetSkrót PL
- CVSS
- 9,8
- EPSS
- 0,87 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
KATALOG PODATNOŚCI
Dotkliwość: Krytyczna
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
CVE-2026-29191
ZITADEL is an open source identity management platform. From version 4.0.0 to 4.11.1, a vulnerability in Zitadel's login V2 interface was discovered that allowed a possible account takeover via XSS in /saml-post Endpoint. This issue has been patched in…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,3
- EPSS
- 0,46 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29067
ZITADEL is an open source identity management platform. From version 4.0.0-rc.1 to 4.7.0, a potential vulnerability exists in ZITADEL's password reset mechanism in login V2. ZITADEL utilizes the Forwarded or X-Forwarded-Host header from incoming requests to…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,3
- EPSS
- 0,37 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-30824
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, the NVIDIA NIM router (/api/v1/nvidia-nim/*) is whitelisted in the global authentication middleware, allowing unauthenticated access to…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 37,33 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-30821
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, the /api/v1/attachments/:chatflowId/:chatId endpoint is listed in WHITELIST_URLS, allowing unauthenticated access to the file upload API. While…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 16,71 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-25072
XikeStor SKS8310-8X Network Switch firmware versions 1.04.B07 and prior contain a predictable session identifier vulnerability in the /goform/SetLogin endpoint that allows remote attackers to hijack authenticated sessions. Attackers can predict session…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,56 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-25070
XikeStor SKS8310-8X Network Switch firmware versions 1.04.B07 and prior contain an OS command injection vulnerability in the /goform/PingTestSet endpoint that allows unauthenticated remote attackers to execute arbitrary operating system commands. Attackers…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 3,31 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29063
Zanieczyszczenie prototypu w Immutable.js umożliwia manipulację danymi przez mergeDeep() i inne API.
Krytyczne sygnałyPubliczny PoCSkrót PL
- CVSS
- 9,8
- EPSS
- 0,99 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-30831
Rocket.Chat is an open-source, secure, fully customizable communications platform. Prior to versions 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1, and 8.2.0, authentication vulnerabilities exist in Rocket.Chat's enterprise DDP Streamer service. The…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,38 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-28514
Obejście uwierzytelnienia w Rocket.Chat umożliwia atakującemu zalogowanie się jako dowolny użytkownik, co prowadzi do przejęcia konta.
Wysoki priorytetSkrót PL
- CVSS
- 9,8
- EPSS
- 0,55 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29075
Mesa is an open-source Python library for agent-based modeling, simulating complex systems and exploring emergent behaviors. In version 3.5.0 and prior, checking out of untrusted code in benchmarks.yml workflow may lead to code execution in privileged…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,41 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-26288
Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach umożliwia nieautoryzowane przejęcie stacji.
Wysoki priorytetSkrót PL
- CVSS
- 9,8
- EPSS
- 0,66 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-26051
Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach umożliwia nieautoryzowane przejęcie stacji.
Wysoki priorytetSkrót PL
- CVSS
- 9,8
- EPSS
- 0,9 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2018-25199
OOP CMS BLOG 1.0 contains SQL injection vulnerabilities that allow unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through multiple parameters. Attackers can inject SQL commands via the search parameter in search.php,…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,41 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2018-25187
Wielokrotne podatności w Tina4 Stack 1.0.3 umożliwiają nieautoryzowanym atakującym dostęp do wrażliwych plików bazy danych oraz przeprowadzanie…
Krytyczne sygnałyPubliczny PoCSkrót PL
- CVSS
- 9,8
- EPSS
- 0,39 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-2330
An attacker may access restricted filesystem areas on the device via the CROWN REST interface due to incomplete whitelist enforcement. Certain directories intended for internal testing were not covered by the whitelist and are accessible without…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,4
- EPSS
- 0,73 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-2331
An attacker may perform unauthenticated read and write operations on sensitive filesystem areas via the AppEngine Fileaccess over HTTP due to improper access restrictions. A critical filesystem directory was unintentionally exposed through the HTTP-based…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,98 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29058
AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into the base64Url GET parameter. This can lead to full server compromise,…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 8,94 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29065
changedetection.io is a free open source web page change detection tool. Prior to version 0.54.4, a Zip Slip vulnerability in the backup restore functionality allows arbitrary file overwrite via path traversal in uploaded ZIP archives. This issue has been…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,1
- EPSS
- 0,59 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-28802
Błąd w Authlib umożliwia pomyślne weryfikowanie złośliwych JWT bez podpisu.
Krytyczne sygnałyPubliczny PoCSkrót PL
- CVSS
- 9,8
- EPSS
- 0,54 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-29042
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.15.20, the Nuclio Shell Runtime component contains a command injection vulnerability in how it processes user-supplied arguments. When a function is invoked via…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 2,59 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-28795
OpenChatBI is an intelligent chat-based BI tool powered by large language models, designed to help users query, analyze, and visualize data through natural language conversations. Prior to version 0.2.2, the save_report tool in openchatbi/tool/save_report.py…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,51 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-28438
CocoIndex is a data transformation framework for AI. Prior to version 0.3.34, the Doris target connector didn't verify the configured table name before creating some SQL statements (ALTER TABLE). So, in the application code, if the table name is provided by…
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,32 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-2446
The PowerPack for LearnDash WordPress plugin before 1.3.0 does not have authorization and CRSF checks in an AJAX action, allowing unauthenticated users to update arbitrary WordPress options (such as default_role etc) and create arbitrary admin users
Wysoki priorytetOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 0,44 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
CVE-2026-28794
oRPC is an tool that helps build APIs that are end-to-end type-safe and adhere to OpenAPI standards. Prior to version 1.13.6, a prototype pollution vulnerability exists in the RPC JSON deserializer of the @orpc/client package. The vulnerability allows…
Krytyczne sygnałyPubliczny PoCOpis źródłowy · EN
- CVSS
- 9,8
- EPSS
- 1,06 %
- Publikacja
- Poprawka
- Status poprawki nieustalony
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2026-29186 Obejście konfiguracji w Backstage umożliwia zdalne wykonanie dowolnego kodu. |
Wysoki priorytet |
CVSS 9,8EPSS 0,87 % | ||
| CVE-2026-29191 ZITADEL is an open source identity management platform. From version 4.0.0 to 4.11.1, a vulnerability in Zitadel's login V2 interface was discovered that allowed a possible account… |
Wysoki priorytet |
CVSS 9,3EPSS 0,46 % | ||
| CVE-2026-29067 ZITADEL is an open source identity management platform. From version 4.0.0-rc.1 to 4.7.0, a potential vulnerability exists in ZITADEL's password reset mechanism in login V2. ZITADEL… |
Wysoki priorytet |
CVSS 9,3EPSS 0,37 % | ||
| CVE-2026-30824 Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, the NVIDIA NIM router (/api/v1/nvidia-nim/*) is whitelisted in the global… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 37,33 % | ||
| CVE-2026-30821 Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.0.13, the /api/v1/attachments/:chatflowId/:chatId endpoint is listed in… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 16,71 % | ||
| CVE-2026-25072 XikeStor SKS8310-8X Network Switch firmware versions 1.04.B07 and prior contain a predictable session identifier vulnerability in the /goform/SetLogin endpoint that allows remote attackers… |
Wysoki priorytet |
CVSS 9,8EPSS 0,56 % | ||
| CVE-2026-25070 XikeStor SKS8310-8X Network Switch firmware versions 1.04.B07 and prior contain an OS command injection vulnerability in the /goform/PingTestSet endpoint that allows unauthenticated remote… |
Wysoki priorytet |
CVSS 9,8EPSS 3,31 % | ||
| CVE-2026-29063 Zanieczyszczenie prototypu w Immutable.js umożliwia manipulację danymi przez mergeDeep() i inne API. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,99 % | ||
| CVE-2026-30831 Rocket.Chat is an open-source, secure, fully customizable communications platform. Prior to versions 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1, and 8.2.0, authentication vulnerabilities… |
Wysoki priorytet |
CVSS 9,8EPSS 0,38 % | ||
| CVE-2026-28514 Obejście uwierzytelnienia w Rocket.Chat umożliwia atakującemu zalogowanie się jako dowolny użytkownik, co prowadzi do przejęcia konta. |
Wysoki priorytet |
CVSS 9,8EPSS 0,55 % | ||
| CVE-2026-29075 Mesa is an open-source Python library for agent-based modeling, simulating complex systems and exploring emergent behaviors. In version 3.5.0 and prior, checking out of untrusted code in… |
Wysoki priorytet |
CVSS 9,8EPSS 0,41 % | ||
| CVE-2026-26288 Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach umożliwia nieautoryzowane przejęcie stacji. |
Wysoki priorytet |
CVSS 9,8EPSS 0,66 % | ||
| CVE-2026-26051 Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach umożliwia nieautoryzowane przejęcie stacji. |
Wysoki priorytet |
CVSS 9,8EPSS 0,9 % | ||
| CVE-2018-25199 OOP CMS BLOG 1.0 contains SQL injection vulnerabilities that allow unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through multiple parameters.… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,41 % | ||
| CVE-2018-25187 Wielokrotne podatności w Tina4 Stack 1.0.3 umożliwiają nieautoryzowanym atakującym dostęp do wrażliwych plików bazy danych oraz przeprowadzanie… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,39 % | ||
| CVE-2026-2330 An attacker may access restricted filesystem areas on the device via the CROWN REST interface due to incomplete whitelist enforcement. Certain directories intended for internal testing… |
Wysoki priorytet |
CVSS 9,4EPSS 0,73 % | ||
| CVE-2026-2331 An attacker may perform unauthenticated read and write operations on sensitive filesystem areas via the AppEngine Fileaccess over HTTP due to improper access restrictions. A critical… |
Wysoki priorytet |
CVSS 9,8EPSS 0,98 % | ||
| CVE-2026-29058 AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into… |
Wysoki priorytet |
CVSS 9,8EPSS 8,94 % | ||
| CVE-2026-29065 changedetection.io is a free open source web page change detection tool. Prior to version 0.54.4, a Zip Slip vulnerability in the backup restore functionality allows arbitrary file… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,1EPSS 0,59 % | ||
| CVE-2026-28802 Błąd w Authlib umożliwia pomyślne weryfikowanie złośliwych JWT bez podpisu. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,54 % | ||
| CVE-2026-29042 Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.15.20, the Nuclio Shell Runtime component contains a command injection vulnerability in how… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 2,59 % | ||
| CVE-2026-28795 OpenChatBI is an intelligent chat-based BI tool powered by large language models, designed to help users query, analyze, and visualize data through natural language conversations. Prior to… |
Wysoki priorytet |
CVSS 9,8EPSS 0,51 % | ||
| CVE-2026-28438 CocoIndex is a data transformation framework for AI. Prior to version 0.3.34, the Doris target connector didn't verify the configured table name before creating some SQL statements (ALTER… |
Wysoki priorytet |
CVSS 9,8EPSS 0,32 % | ||
| CVE-2026-2446 The PowerPack for LearnDash WordPress plugin before 1.3.0 does not have authorization and CRSF checks in an AJAX action, allowing unauthenticated users to update arbitrary WordPress… |
Wysoki priorytet |
CVSS 9,8EPSS 0,44 % | ||
| CVE-2026-28794 oRPC is an tool that helps build APIs that are end-to-end type-safe and adhere to OpenAPI standards. Prior to version 1.13.6, a prototype pollution vulnerability exists in the RPC JSON… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 1,06 % |
Źródła i pokrycie danych
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 8.11.2026, 07:32 UTC – 8.11.2026, 09:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.
NVD · publikacjeOstatnie przetworzenie zakończone
NVD · aktualizacjeOpóźnione lub nieustalone
CISA KEVOstatnie przetworzenie zakończone
FIRST EPSSOstatnie przetworzenie zakończoneData modelu znajduje się przy rekordzie.