KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Błąd w filtracji zmiennych środowiskowych w OpenClaw pozwala na nieautoryzowane wykonanie działań.
Błąd w filtracji środowiska wykonawczego OpenClaw umożliwia nadużycie transportu Git.
Nieograniczone przesyłanie plików w WebsiteBaker CMS umożliwia zdalne wykonanie kodu.
In Symfony Expression Language versions prior to 5.4.54, 6.4.48, 7.4.21, and 8.1.9, the parser of the ExpressionLanguage component built its node tree with no bound on its depth. An expression made of tens of thousands of nested unary operators, array literals, binary operators or property…
Qwik is a performance-focused JavaScript framework. Prior to @builder.io/qwik 1.20.0 and @qwik.dev/core 2.0.0-beta.37, default server-side qwik-json deserialization causes ResourceSerializer.$fill$ to pass resource._resolved to Promise.resolve without first rejecting attacker-controlled thenables.…
The get-html-skeleton tool fetched a URL the caller supplied after checking only its syntax. The handler in src/tools/common/get_html_skeleton.ts validated the url argument with isValidHttpUrl from src/utils/generic.ts, which confirmed the string began with an http or https scheme and parsed as a…
Przepełnienie pamięci w kin-openapi umożliwia atakującemu wymuszenie alokacji pamięci i awarię usługi.
Błąd konwersji w libevent umożliwia atakującemu wywołanie odmowy usługi.
Nieskończona pętla w LiquidJS przy renderowaniu szablonów może prowadzić do odmowy usługi.
Błąd w frp umożliwia atakującemu zdalne zablokowanie serwera przez nieautoryzowane żądanie SSH.
Wykorzystanie podatności w ShareFile Storage Zones Controller pozwala na odczyt i zapis plików na serwerze.
W Centrifugo przed wersją 6.8.4 nieautoryzowane żądania do /connection/uni_websocket mogą powodować nadmierne zużycie pamięci i CPU.
W Grav występuje podatność na przeciążenie serwera przez nieautoryzowane żądania obrazów.
Swetrix Cloud before 5.1.0 contains a missing authorization vulnerability in ProjectController.addProject that allows authenticated users to hijack arbitrary projects by moving them into their own organisation. Attackers can create an organisation and add a victim project by its public tracking ID…
Label Studio does not scope the annotation detail endpoint to the requesting user's organization. AnnotationAPI in label_studio/tasks/api.py declares queryset = Annotation.objects.all() and provides no get_queryset override, so the default lookup retrieves any annotation by primary key. The view's…
Luka w CamaleonCMS pozwala na eskalację uprawnień i przejęcie konta administratora.
Luka w Onlook umożliwia atakującym dostęp do zasobów innych użytkowników przez UUID.
Brak autoryzacji w Cockpit CMS pozwala każdemu uwierzytelnionemu użytkownikowi na nieograniczone operacje na zasobach.
SmileCDR HAPI FHIR does not properly handle highly compressed data, allowing an unauthenticated attacker to send compressed payloads that exhaust server heap or crash certain services when decompressed.
Wykorzystanie luki w Thumbor pozwala na przejście poza dozwoloną ścieżkę plików.
nltk PorterStemmer in versions <= 3.10.2 (fixed in 3.10.3) contains an inefficient-algorithmic-complexity denial of service in PorterStemmer.stem(). The _is_consonant() helper walks backward over the entire run of trailing 'y' characters on every call, and _measure() invokes it for each stem…
Wielokrotne parsowanie XML w NLTK przed 3.10.3 prowadzi do odmowy usługi przez atakujące ładunki.
NLTK versions before 3.9.4 contain an unbounded recursion vulnerability in JSONTaggedDecoder.decode_obj() that allows attackers to cause denial of service by supplying deeply nested JSON structures. Attackers can craft JSON payloads exceeding the recursion limit to trigger an unhandled…
Wykorzystanie luki w FreeRDP pozwala na zdalne zablokowanie serwera.
Błąd w FreeRDP umożliwia atakującym wyczerpanie zasobów pamięci klienta przez złośliwe odpowiedzi HTTP.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Błąd w filtracji zmiennych środowiskowych w OpenClaw pozwala na nieautoryzowane wykonanie działań. | Błąd w filtracji zmiennych środowiskowych w OpenClaw pozwala na nieautoryzowane wykonanie działań. |
Obserwuj | 8,7 | 0,53 % | ||
| Błąd w filtracji środowiska wykonawczego OpenClaw umożliwia nadużycie transportu Git. | Błąd w filtracji środowiska wykonawczego OpenClaw umożliwia nadużycie transportu Git. |
Obserwuj | 8,7 | 0,53 % | ||
| Nieograniczone przesyłanie plików w WebsiteBaker CMS umożliwia zdalne wykonanie kodu. | Nieograniczone przesyłanie plików w WebsiteBaker CMS umożliwia zdalne wykonanie kodu. |
Obserwuj | 8,6 | 1,03 % | ||
| In Symfony Expression Language versions prior to 5.4.54, 6.4.48, 7.4.21, and 8.1.9, the parser of the ExpressionLanguage component built… | In Symfony Expression Language versions prior to 5.4.54, 6.4.48, 7.4.21, and 8.1.9, the parser of the ExpressionLanguage component built its node tree with no bound on its depth. An expression made of tens of thousands of nested unary operators, array literals, binary operators or property… |
Obserwuj | 8,7 | 0,52 % | ||
| Qwik is a performance-focused JavaScript framework. | Qwik is a performance-focused JavaScript framework. Prior to @builder.io/qwik 1.20.0 and @qwik.dev/core 2.0.0-beta.37, default server-side qwik-json deserialization causes ResourceSerializer.$fill$ to pass resource._resolved to Promise.resolve without first rejecting attacker-controlled thenables.… |
Obserwuj | 8,7 | 0,52 % | ||
| The get-html-skeleton tool fetched a URL the caller supplied after checking only its syntax. | The get-html-skeleton tool fetched a URL the caller supplied after checking only its syntax. The handler in src/tools/common/get_html_skeleton.ts validated the url argument with isValidHttpUrl from src/utils/generic.ts, which confirmed the string began with an http or https scheme and parsed as a… |
Obserwuj | 8,7 | 0,52 % | ||
| Przepełnienie pamięci w kin-openapi umożliwia atakującemu wymuszenie alokacji pamięci i awarię usługi. | Przepełnienie pamięci w kin-openapi umożliwia atakującemu wymuszenie alokacji pamięci i awarię usługi. |
Obserwuj | 8,7 | 0,52 % | ||
| Błąd konwersji w libevent umożliwia atakującemu wywołanie odmowy usługi. | Błąd konwersji w libevent umożliwia atakującemu wywołanie odmowy usługi. |
Obserwuj | 8,7 | 0,52 % | ||
| Nieskończona pętla w LiquidJS przy renderowaniu szablonów może prowadzić do odmowy usługi. | Nieskończona pętla w LiquidJS przy renderowaniu szablonów może prowadzić do odmowy usługi. |
Obserwuj | 8,7 | 0,52 % | ||
| Błąd w frp umożliwia atakującemu zdalne zablokowanie serwera przez nieautoryzowane żądanie SSH. | Błąd w frp umożliwia atakującemu zdalne zablokowanie serwera przez nieautoryzowane żądanie SSH. |
Obserwuj | 8,7 | 0,52 % | ||
| Wykorzystanie podatności w ShareFile Storage Zones Controller pozwala na odczyt i zapis plików na serwerze. | Wykorzystanie podatności w ShareFile Storage Zones Controller pozwala na odczyt i zapis plików na serwerze. |
Obserwuj | 8,7 | 0,52 % | ||
| W Centrifugo przed wersją 6.8.4 nieautoryzowane żądania do /connection/uni_websocket mogą powodować nadmierne zużycie pamięci i CPU. | W Centrifugo przed wersją 6.8.4 nieautoryzowane żądania do /connection/uni_websocket mogą powodować nadmierne zużycie pamięci i CPU. |
Obserwuj | 8,7 | 0,52 % | ||
| W Grav występuje podatność na przeciążenie serwera przez nieautoryzowane żądania obrazów. | W Grav występuje podatność na przeciążenie serwera przez nieautoryzowane żądania obrazów. |
Obserwuj | 8,7 | 0,52 % | ||
| Swetrix Cloud before 5.1.0 contains a missing authorization vulnerability in ProjectController.addProject that allows authenticated users… | Swetrix Cloud before 5.1.0 contains a missing authorization vulnerability in ProjectController.addProject that allows authenticated users to hijack arbitrary projects by moving them into their own organisation. Attackers can create an organisation and add a victim project by its public tracking ID… |
Obserwuj | 8,7 | 0,52 % | ||
| Label Studio does not scope the annotation detail endpoint to the requesting user's organization. | Label Studio does not scope the annotation detail endpoint to the requesting user's organization. AnnotationAPI in label_studio/tasks/api.py declares queryset = Annotation.objects.all() and provides no get_queryset override, so the default lookup retrieves any annotation by primary key. The view's… |
Obserwuj | 8,7 | 0,52 % | ||
| Luka w CamaleonCMS pozwala na eskalację uprawnień i przejęcie konta administratora. | Luka w CamaleonCMS pozwala na eskalację uprawnień i przejęcie konta administratora. |
Obserwuj | 8,7 | 0,52 % | ||
| Luka w Onlook umożliwia atakującym dostęp do zasobów innych użytkowników przez UUID. | Luka w Onlook umożliwia atakującym dostęp do zasobów innych użytkowników przez UUID. |
Obserwuj | 8,7 | 0,52 % | ||
| Brak autoryzacji w Cockpit CMS pozwala każdemu uwierzytelnionemu użytkownikowi na nieograniczone operacje na zasobach. | Brak autoryzacji w Cockpit CMS pozwala każdemu uwierzytelnionemu użytkownikowi na nieograniczone operacje na zasobach. |
Obserwuj | 8,7 | 0,52 % | ||
| SmileCDR HAPI FHIR does not properly handle highly compressed data, allowing an unauthenticated attacker to send compressed payloads that… | SmileCDR HAPI FHIR does not properly handle highly compressed data, allowing an unauthenticated attacker to send compressed payloads that exhaust server heap or crash certain services when decompressed. |
Obserwuj | 8,7 | 0,52 % | ||
| Wykorzystanie luki w Thumbor pozwala na przejście poza dozwoloną ścieżkę plików. | Wykorzystanie luki w Thumbor pozwala na przejście poza dozwoloną ścieżkę plików. |
Obserwuj | 8,7 | 0,52 % | ||
| nltk PorterStemmer in versions <= 3.10.2 (fixed in 3.10.3) contains an inefficient-algorithmic-complexity denial of service in… | nltk PorterStemmer in versions <= 3.10.2 (fixed in 3.10.3) contains an inefficient-algorithmic-complexity denial of service in PorterStemmer.stem(). The _is_consonant() helper walks backward over the entire run of trailing 'y' characters on every call, and _measure() invokes it for each stem… |
W tym tygodniu | 8,7 | 0,52 % | ||
| Wielokrotne parsowanie XML w NLTK przed 3.10.3 prowadzi do odmowy usługi przez atakujące ładunki. | Wielokrotne parsowanie XML w NLTK przed 3.10.3 prowadzi do odmowy usługi przez atakujące ładunki. |
W tym tygodniu | 8,7 | 0,52 % | ||
| NLTK versions before 3.9.4 contain an unbounded recursion vulnerability in JSONTaggedDecoder.decode_obj() that allows attackers to cause… | NLTK versions before 3.9.4 contain an unbounded recursion vulnerability in JSONTaggedDecoder.decode_obj() that allows attackers to cause denial of service by supplying deeply nested JSON structures. Attackers can craft JSON payloads exceeding the recursion limit to trigger an unhandled… |
W tym tygodniu | 8,7 | 0,52 % | ||
| Wykorzystanie luki w FreeRDP pozwala na zdalne zablokowanie serwera. | Wykorzystanie luki w FreeRDP pozwala na zdalne zablokowanie serwera. |
W tym tygodniu | 8,7 | 0,52 % | ||
| Błąd w FreeRDP umożliwia atakującym wyczerpanie zasobów pamięci klienta przez złośliwe odpowiedzi HTTP. | Błąd w FreeRDP umożliwia atakującym wyczerpanie zasobów pamięci klienta przez złośliwe odpowiedzi HTTP. |
W tym tygodniu | 8,7 | 0,52 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.