KATALOG PODATNOŚCI
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
OpenClaw versions 2026.1.29 prior to 2026.2.1 contain a vulnerability in the Twitch plugin (must be installed and enabled) in which it fails to enforce the allowFrom allowlist when allowedRoles is unset or empty, allowing unauthorized Twitch users to trigger…
OpenClaw versions prior to 2026.2.2 fail to properly validate Windows cmd.exe metacharacters in allowlist-gated exec requests (non-default configuration), allowing attackers to bypass command approval restrictions. Remote attackers can craft command strings…
OpenClaw versions prior to 2026.2.14 contain a privilege escalation vulnerability in the Slack slash-command handler that incorrectly authorizes any direct message sender when dmPolicy is set to open (must be configured). Attackers can execute privileged…
OpenClaw versions 2.0.0-beta3 prior to 2026.2.14 contain a path traversal vulnerability in hook transform module loading that allows arbitrary JavaScript execution. The hooks.mappings[].transform.module parameter accepts absolute paths and traversal…
Brak wygasania tokenów resetujących hasło w HexPM umożliwia przejęcie konta przez atakującego, wykorzystującego stare linki z e-maili.
SQL injection w OpenReplay przed wersją 1.20.0 w parametrze sort.field może prowadzić do nieautoryzowanego dostępu do danych.
Wersje NLTK do 3.9.2 są podatne na wykonanie dowolnego kodu z powodu niewłaściwej walidacji wejścia.
Chamilo is a learning management system. Versions prior to 1.11.34 have a Stored XSS through insecure file uploads in `Social Networks`. Through it, a low-privilege user can execute arbitrary code in the admin user inbox, allowing takeover of the admin…
Wstrzyknięcie nagłówka hosta w @perfood/couch-auth umożliwia przejęcie konta przez atakujących.
Trivy Vulnerability Scanner is a VS Code extension that helps find vulnerabilities. In Trivy VSCode Extension version 1.8.12, which was distributed via OpenVSX marketplace was compromised and contained malicious code designed to leverage local AI coding…
Podatność w D-Link DIR-1253 MESH V1.6.1684 umożliwia eskalację uprawnień poprzez manipulację plikiem etc/shadow.sample.
Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.3, the /api/backup endpoint is accessible without authentication and discloses the encryption keys required to decrypt the backup in the X-Backup-Security response header. This…
Gogs is an open source self-hosted Git service. Prior to version 0.14.2, overwritable LFS object across different repos leads to supply-chain attack, all LFS objects are vulnerable to be maliciously overwritten by malicious attackers. This issue has been…
Niebezpieczne parsowanie konfiguracji OpenMQ pozwala zdalnemu atakującemu na odczytanie dowolnych plików.
Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetMACFilter.
Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetEnableWizard.
Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSchedule.
Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetDDNS.
D-Link DIR-513 version 1.10 contains a critical-level vulnerability. When processing POST requests related to verification codes in /goform/formLogin, it enters /goform/getAuthCode but fails to filter the value of the FILECODE parameter, resulting in a path…
Rakuten Viber Cloak mode in Android v25.7.2.0g and Windows v25.6.0.0–v25.8.1.0 uses a static and predictable TLS ClientHello fingerprint lacking extension diversity, allowing Deep Packet Inspection (DPI) systems to trivially identify and block proxy traffic,…
Podatność CSRF w RustDesk Client umożliwia eskalację uprawnień.
Obejście uwierzytelnienia w RustDesk Client umożliwia ponowne wykorzystanie identyfikatorów sesji.
Błąd w RustDesk Client umożliwia nadużycie uprawnień na wielu platformach.
The Database for Contact Form 7, WPforms, Elementor forms plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.4.7 via deserialization of untrusted input in the 'download_csv' function. This makes it possible for…
A improperly secured file management feature allows uploads of dangerous data types for unauthenticated users, leading to remote code execution.
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2026-28448 OpenClaw versions 2026.1.29 prior to 2026.2.1 contain a vulnerability in the Twitch plugin (must be installed and enabled) in which it fails to enforce the allowFrom allowlist when… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,4EPSS 0,52 % | ||
| CVE-2026-28391 OpenClaw versions prior to 2026.2.2 fail to properly validate Windows cmd.exe metacharacters in allowlist-gated exec requests (non-default configuration), allowing attackers to bypass… |
Wysoki priorytet |
CVSS 9,2EPSS 0,58 % | ||
| CVE-2026-28392 OpenClaw versions prior to 2026.2.14 contain a privilege escalation vulnerability in the Slack slash-command handler that incorrectly authorizes any direct message sender when dmPolicy is… |
Wysoki priorytet |
CVSS 9,8EPSS 0,4 % | ||
| CVE-2026-28393 OpenClaw versions 2.0.0-beta3 prior to 2026.2.14 contain a path traversal vulnerability in hook transform module loading that allows arbitrary JavaScript execution. The… |
Wysoki priorytet |
CVSS 9,8EPSS 0,51 % | ||
| CVE-2026-21622 Brak wygasania tokenów resetujących hasło w HexPM umożliwia przejęcie konta przez atakującego, wykorzystującego stare linki z e-maili. |
Wysoki priorytet |
CVSS 9,8EPSS 0,44 % | ||
| CVE-2026-28443 SQL injection w OpenReplay przed wersją 1.20.0 w parametrze sort.field może prowadzić do nieautoryzowanego dostępu do danych. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,4 % | ||
| CVE-2026-0848 Wersje NLTK do 3.9.2 są podatne na wykonanie dowolnego kodu z powodu niewłaściwej walidacji wejścia. |
Krytyczne sygnałyPubliczny PoC |
CVSS 10,0EPSS 0,84 % | ||
| CVE-2025-55208 Chamilo is a learning management system. Versions prior to 1.11.34 have a Stored XSS through insecure file uploads in `Social Networks`. Through it, a low-privilege user can execute… |
Wysoki priorytet |
CVSS 9,0EPSS 0,36 % | ||
| CVE-2025-70948 Wstrzyknięcie nagłówka hosta w @perfood/couch-auth umożliwia przejęcie konta przez atakujących. |
Wysoki priorytet |
CVSS 9,3EPSS 0,4 % | ||
| CVE-2026-28353 Trivy Vulnerability Scanner is a VS Code extension that helps find vulnerabilities. In Trivy VSCode Extension version 1.8.12, which was distributed via OpenVSX marketplace was compromised… |
Wysoki priorytet |
CVSS 10,0EPSS 0,51 % | ||
| CVE-2025-29165 Podatność w D-Link DIR-1253 MESH V1.6.1684 umożliwia eskalację uprawnień poprzez manipulację plikiem etc/shadow.sample. |
Wysoki priorytet |
CVSS 9,8EPSS 0,74 % | ||
| CVE-2026-27944 Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.3, the /api/backup endpoint is accessible without authentication and discloses the encryption keys required… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 22,84 % | ||
| CVE-2026-25921 Gogs is an open source self-hosted Git service. Prior to version 0.14.2, overwritable LFS object across different repos leads to supply-chain attack, all LFS objects are vulnerable to be… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,3EPSS 0,37 % | ||
| CVE-2026-24457 Niebezpieczne parsowanie konfiguracji OpenMQ pozwala zdalnemu atakującemu na odczytanie dowolnych plików. |
Wysoki priorytet |
CVSS 9,8EPSS 0,7 % | ||
| CVE-2025-70232 Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetMACFilter. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,76 % | ||
| CVE-2025-70233 Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetEnableWizard. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,76 % | ||
| CVE-2025-70229 Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSchedule. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,76 % | ||
| CVE-2025-70230 Stack buffer overflow vulnerability in D-Link DIR-513 v1.10 via the curTime parameter to goform/formSetDDNS. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,94 % | ||
| CVE-2025-70231 D-Link DIR-513 version 1.10 contains a critical-level vulnerability. When processing POST requests related to verification codes in /goform/formLogin, it enters /goform/getAuthCode but… |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,8 % | ||
| CVE-2025-13476 Rakuten Viber Cloak mode in Android v25.7.2.0g and Windows v25.6.0.0–v25.8.1.0 uses a static and predictable TLS ClientHello fingerprint lacking extension diversity, allowing Deep Packet… |
Wysoki priorytet |
CVSS 9,8EPSS 0,37 % | ||
| CVE-2026-30793 Podatność CSRF w RustDesk Client umożliwia eskalację uprawnień. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,35 % | ||
| CVE-2026-30789 Obejście uwierzytelnienia w RustDesk Client umożliwia ponowne wykorzystanie identyfikatorów sesji. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,32 % | ||
| CVE-2026-30783 Błąd w RustDesk Client umożliwia nadużycie uprawnień na wielu platformach. |
Krytyczne sygnałyPubliczny PoC |
CVSS 9,8EPSS 0,43 % | ||
| CVE-2026-2599 The Database for Contact Form 7, WPforms, Elementor forms plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.4.7 via deserialization of… |
Wysoki priorytet |
CVSS 9,8EPSS 0,61 % | ||
| CVE-2026-21628 A improperly secured file management feature allows uploads of dangerous data types for unauthenticated users, leading to remote code execution. |
Wysoki priorytet |
CVSS 9,8EPSS 0,54 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 8.11.2026, 08:02 UTC – 8.11.2026, 12:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.