KATALOG PODATNOŚCI
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
Ghostfolio is an open source wealth management software. Prior to version 2.244.0, by bypassing symbol validation, an attacker can execute arbitrary SQL commands via the getHistorical() method, potentially allowing them to read, modify, or delete sensitive…
OneUptime is a solution for monitoring and managing online services. In version 10.0.11 and prior, the WebAuthn authentication implementation does not store the challenge on the server side. Instead, the challenge is returned to the client and accepted back…
Ghostfolio is an open source wealth management software. Prior to version 2.245.0, an attacker can exploit the manual asset import feature to perform a full-read SSRF, allowing them to exfiltrate sensitive cloud metadata (IMDS) or probe internal network…
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to version 4.8.3, an unauthenticated attacker can inject arbitrary SQL into queries executed against databases connected to…
Wstrzyknięcie SQL w AVideo przed wersją 24.0 umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do kradzieży danych.
Brak uwierzytelnienia w usłudze memcached w WWBN AVideo umożliwia atakującym przejęcie sesji użytkowników i impersonację administratora.
Przepełnienie całkowitej wartości w TinyWeb umożliwia atakującym obejście ograniczeń Content-Length i przeprowadzenie HTTP Request Smuggling.
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning path Settings field, an attacker with a low-privileged account (e.g.,…
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course description field, an attacker with a low-privileged account (e.g., trainer) can…
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored XSS vulnerability in Chamilo LMS (Verison 1.11.32) allows an attacker to inject arbitrary JavaScript into the platform’s social network and internal messaging features. When…
Sensitive information disclosure and manipulation due to improper authentication. The following products are affected: Acronis Cyber Protect 17 (Linux, Windows) before build 41186.
Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach pozwala na nieautoryzowane przejęcie stacji.
Podatność w Payment Orchestrator umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Podatność w Microsoft Devices Pricing Program umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem.
Wersje OpenClaw przed 2026.2.15 wykorzystują SHA-1 do haszowania kluczy, co naraża na ataki kolizyjne i umożliwia zafałszowanie konfiguracji…
OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not validated. Attackers can connect to the gateway without providing…
Błąd w wtyczce Nextcloud Talk umożliwia obejście listy dozwolonych użytkowników i nieautoryzowany dostęp.
Podatność w OpenClaw umożliwia atakującym wykonanie dowolnych poleceń poprzez obejście listy dozwolonych akcji, co prowadzi do nieautoryzowanego…
OpenClaw versions prior to 2026.2.14 contain a vulnerability in the gateway in which it fails to sanitize internal approval fields in node.invoke parameters, allowing authenticated clients to bypass exec approval gating for system.run commands. Attackers…
OpenClaw versions prior to 2026.2.13 contain a vulnerability in the browser control API in which it accepts user-supplied output paths for trace and download files without consistently constraining writes to temporary directories. Attackers with API access…
OpenClaw versions prior to 2026.2.14 contain server-side request forgery vulnerabilities in the Feishu extension that allow attackers to fetch attacker-controlled remote URLs without SSRF protections via sendMediaFeishu function and markdown image…
OpenClaw versions prior to 2026.2.14 fail to validate TAR archive entry paths during extraction, allowing path traversal sequences to write files outside the intended directory. Attackers can craft malicious archives with traversal sequences like ../../ to…
OpenClaw versions prior to 2026.2.2 fail to validate webhook secrets in Telegram webhook mode (must be enabled), allowing unauthenticated HTTP POST requests to the webhook endpoint that trust attacker-controlled JSON payloads. Remote attackers can forge…
Nieprawidłowe powiązanie sieci w OpenClaw umożliwia zdalne ataki na serwer relay.
OpenClaw versions prior to 2026.2.1 with the voice-call extension installed and enabled contain an authentication bypass vulnerability in inbound allowlist policy validation that accepts empty caller IDs and uses suffix-based matching instead of strict…
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2026-28785 Ghostfolio is an open source wealth management software. Prior to version 2.244.0, by bypassing symbol validation, an attacker can execute arbitrary SQL commands via the getHistorical()… |
Wysoki priorytet |
CVSS 9,8EPSS 0,42 % | ||
| CVE-2026-28787 OneUptime is a solution for monitoring and managing online services. In version 10.0.11 and prior, the WebAuthn authentication implementation does not store the challenge on the server… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,0EPSS 0,31 % | ||
| CVE-2026-28680 Ghostfolio is an open source wealth management software. Prior to version 2.245.0, an attacker can exploit the manual asset import feature to perform a full-read SSRF, allowing them to… |
Wysoki priorytet |
CVSS 9,3EPSS 0,26 % | ||
| CVE-2026-27005 Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to version 4.8.3, an unauthenticated attacker can… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,58 % | ||
| CVE-2026-28501 Wstrzyknięcie SQL w AVideo przed wersją 24.0 umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do kradzieży danych. |
Wysoki priorytet |
CVSS 9,8EPSS 1,67 % | ||
| CVE-2026-29093 Brak uwierzytelnienia w usłudze memcached w WWBN AVideo umożliwia atakującym przejęcie sesji użytkowników i impersonację administratora. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,54 % | ||
| CVE-2026-28497 Przepełnienie całkowitej wartości w TinyWeb umożliwia atakującym obejście ograniczeń Content-Length i przeprowadzenie HTTP Request Smuggling. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,1EPSS 0,53 % | ||
| CVE-2025-59542 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning… |
Wysoki priorytet |
CVSS 9,0EPSS 0,35 % | ||
| CVE-2025-59543 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course description… |
Wysoki priorytet |
CVSS 9,0EPSS 0,3 % | ||
| CVE-2025-55289 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored XSS vulnerability in Chamilo LMS (Verison 1.11.32) allows an attacker to inject arbitrary JavaScript… |
Wysoki priorytet |
CVSS 9,0EPSS 0,35 % | ||
| CVE-2026-28710 Sensitive information disclosure and manipulation due to improper authentication. The following products are affected: Acronis Cyber Protect 17 (Linux, Windows) before build 41186. |
Wysoki priorytet |
CVSS 9,8EPSS 0,47 % | ||
| CVE-2026-22552 Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach pozwala na nieautoryzowane przejęcie stacji. |
Wysoki priorytet |
CVSS 9,8EPSS 0,98 % | ||
| CVE-2026-26125 Podatność w Payment Orchestrator umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. |
Wysoki priorytet |
CVSS 9,8EPSS 1,17 % | ||
| CVE-2026-21536 Podatność w Microsoft Devices Pricing Program umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. |
Wysoki priorytet |
CVSS 9,8EPSS 1,6 % | ||
| CVE-2026-28479 Wersje OpenClaw przed 2026.2.15 wykorzystują SHA-1 do haszowania kluczy, co naraża na ataki kolizyjne i umożliwia zafałszowanie konfiguracji… |
Wysoki priorytet |
CVSS 9,1EPSS 0,21 % | ||
| CVE-2026-28472 OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not… |
Wysoki priorytet |
CVSS 9,8EPSS 0,41 % | ||
| CVE-2026-28474 Błąd w wtyczce Nextcloud Talk umożliwia obejście listy dozwolonych użytkowników i nieautoryzowany dostęp. |
Wysoki priorytet |
CVSS 9,3EPSS 0,55 % | ||
| CVE-2026-28470 Podatność w OpenClaw umożliwia atakującym wykonanie dowolnych poleceń poprzez obejście listy dozwolonych akcji, co prowadzi do nieautoryzowanego… |
Wysoki priorytet |
CVSS 9,2EPSS 0,55 % | ||
| CVE-2026-28466 OpenClaw versions prior to 2026.2.14 contain a vulnerability in the gateway in which it fails to sanitize internal approval fields in node.invoke parameters, allowing authenticated clients… |
Wysoki priorytet |
CVSS 9,4EPSS 0,47 % | ||
| CVE-2026-28462 OpenClaw versions prior to 2026.2.13 contain a vulnerability in the browser control API in which it accepts user-supplied output paths for trace and download files without consistently… |
Wysoki priorytet |
CVSS 9,1EPSS 0,48 % | ||
| CVE-2026-28451 OpenClaw versions prior to 2026.2.14 contain server-side request forgery vulnerabilities in the Feishu extension that allow attackers to fetch attacker-controlled remote URLs without SSRF… |
Wysoki priorytet |
CVSS 9,3EPSS 0,32 % | ||
| CVE-2026-28453 OpenClaw versions prior to 2026.2.14 fail to validate TAR archive entry paths during extraction, allowing path traversal sequences to write files outside the intended directory. Attackers… |
Wysoki priorytet |
CVSS 9,8EPSS 0,48 % | ||
| CVE-2026-28454 OpenClaw versions prior to 2026.2.2 fail to validate webhook secrets in Telegram webhook mode (must be enabled), allowing unauthenticated HTTP POST requests to the webhook endpoint that… |
Wysoki priorytet |
CVSS 9,8EPSS 0,3 % | ||
| CVE-2026-28395 Nieprawidłowe powiązanie sieci w OpenClaw umożliwia zdalne ataki na serwer relay. |
Wysoki priorytet |
CVSS 9,1EPSS 0,46 % | ||
| CVE-2026-28446 OpenClaw versions prior to 2026.2.1 with the voice-call extension installed and enabled contain an authentication bypass vulnerability in inbound allowlist policy validation that accepts… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,75 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 8.11.2026, 07:32 UTC – 8.11.2026, 09:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.