KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Airbyte Platform resolves the workspace used for its authorization decision from a field the caller supplies. AuthorizationServerHandler copies recognised identifiers out of the raw JSON request body into X-Airbyte-* headers, and AuthenticationHeaderResolver.resolveWorkspace consults…
W NLTK przed 3.10.3 występuje podatność na atak SSRF, co pozwala na ujawnienie zasobów wewnętrznych.
Joomla Extension - joomshaper.com - unauthenticated payment/order forgery in Easy Store extension 1.0.0-2.0.1 - Critical order and payment information, including states, are processed from client side input, enabling unauthenticated attackers to manipulate payment and order states of arbritrary…
Brak odpowiednich uprawnień w API Dashboard pozwala na eskalację uprawnień do administratora.
A security issue was discovered in DataMosaix Private Cloud, allowing users with low privilege to perform sensitive database operations through exposed API endpoints.
@hulumi/policies versions before 1.3.2 contain a parent spoof bypass vulnerability that allows attackers to submit spoofed SecureBucket parent evidence during policy evaluation. Attackers can bypass security policy checks by providing falsified evidence, causing the validator to miss unsafe bucket…
Manipulacja nagłówkiem Host w Grav pozwala na przekierowanie użytkowników do złośliwych domen.
Mistral Vibe before 3.0.3 contains a remote code execution vulnerability that allows attackers to run commands by defining git filter drivers in an untrusted repository's .git/config. When started with --worktree, git worktree add applies .gitattributes and runs filter smudge, clean, or process…
Omnispace Agora Project before 26.10.0 contains a SQL identifier injection vulnerability that allows a space administrator to escalate privileges by supplying caller-controlled agoraFields[] names as unvalidated SQL column identifiers during the user import flow. Attackers can inject privileged…
Risesoft Digital-Infrastructure 9.6.5 through 9.6.11 contains a path traversal vulnerability in the fileManager Y9FileController.retrieveFileStream handler that allows unauthenticated attackers to read arbitrary files by supplying parent-directory segments in the fullPath and fileName parameters.…
Błąd w elixir-grpc umożliwia atak DoS poprzez bombę dekompresyjną gzip.
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a path traversal vulnerability that allows remote attackers to read sensitive server files through LLM agent file-read tools. Attackers can prompt the agent to invoke read_document, which lacks sandbox checks, or safe_user_path-gated tools to…
ZcashFoundation Zebra 6.4.0 before 6.4.2 parses version 6 transactions carrying a pre-NU6.3 consensus branch ID, but the size computation during UnminedTx construction treats re-serialization of the Orchard bundle as infallible, so the resulting error trips an expect that aborts zebrad.…
Kimai versions before 2.56.0 fail to restrict the config() Twig function in sandboxed invoice and export templates, allowing administrators to access arbitrary configuration keys. Attackers with admin privileges can upload malicious templates to exfiltrate server-wide secrets including LDAP bind…
Błąd w wtyczce Grav umożliwia atakującemu odgadnięcie tokenów resetowania haseł przez analizę czasów odpowiedzi.
Wersje Renovate mogą ujawniać token autoryzacyjny bota w logach, co naraża na kradzież danych.
Wyciek tokenów repozytoriów w Renovate umożliwia dostęp do wrażliwych danych w komentarzach.
Wykorzystanie luki w ArcadeDB pozwala na odczyt dowolnych plików na systemie hosta.
Niewłaściwe ograniczenie zmiennych w OpenTofu może prowadzić do ujawnienia danych wrażliwych.
Włączenie serwera WWW w DEEBOT PRO M1 i K1VAC umożliwia dostęp do mapy podłogi i logów.
Wstrzyknięcie poleceń w SINEC INS umożliwia zdalne wykonanie dowolnych komend.
Songloft 2.9.0 before 2.13.6 contains a hardcoded credentials vulnerability that allows adjacent network attackers to authenticate as administrator using the fixed admin/admin pair. Attackers on the same network can log in via the /api/v1/auth/login endpoint to modify library and configuration…
Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi.
Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi.
Wstrzyknięcie skryptów w Kestra umożliwia atak XSS przy otwieraniu opisu Flow.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Airbyte Platform resolves the workspace used for its authorization decision from a field the caller supplies. | Airbyte Platform resolves the workspace used for its authorization decision from a field the caller supplies. AuthorizationServerHandler copies recognised identifiers out of the raw JSON request body into X-Airbyte-* headers, and AuthenticationHeaderResolver.resolveWorkspace consults… |
Obserwuj | 8,7 | 0,43 % | ||
| W NLTK przed 3.10.3 występuje podatność na atak SSRF, co pozwala na ujawnienie zasobów wewnętrznych. | W NLTK przed 3.10.3 występuje podatność na atak SSRF, co pozwala na ujawnienie zasobów wewnętrznych. |
W tym tygodniu | 8,7 | 0,43 % | ||
| Joomla Extension - joomshaper.com - unauthenticated payment/order forgery in Easy Store extension 1.0.0-2.0.1 - Critical order and payment… | Joomla Extension - joomshaper.com - unauthenticated payment/order forgery in Easy Store extension 1.0.0-2.0.1 - Critical order and payment information, including states, are processed from client side input, enabling unauthenticated attackers to manipulate payment and order states of arbritrary… |
Obserwuj | 8,7 | 0,43 % | ||
| Brak odpowiednich uprawnień w API Dashboard pozwala na eskalację uprawnień do administratora. | Brak odpowiednich uprawnień w API Dashboard pozwala na eskalację uprawnień do administratora. |
Obserwuj | 8,7 | 0,43 % | ||
| A security issue was discovered in DataMosaix Private Cloud, allowing users with low privilege to perform sensitive database operations… | A security issue was discovered in DataMosaix Private Cloud, allowing users with low privilege to perform sensitive database operations through exposed API endpoints. |
Obserwuj | 8,7 | 0,43 % | ||
| @hulumi/policies versions before 1.3.2 contain a parent spoof bypass vulnerability that allows attackers to submit spoofed SecureBucket… | @hulumi/policies versions before 1.3.2 contain a parent spoof bypass vulnerability that allows attackers to submit spoofed SecureBucket parent evidence during policy evaluation. Attackers can bypass security policy checks by providing falsified evidence, causing the validator to miss unsafe bucket… |
Obserwuj | 8,7 | 0,43 % | ||
| Manipulacja nagłówkiem Host w Grav pozwala na przekierowanie użytkowników do złośliwych domen. | Manipulacja nagłówkiem Host w Grav pozwala na przekierowanie użytkowników do złośliwych domen. |
Obserwuj | 8,7 | 0,43 % | ||
| Mistral Vibe before 3.0.3 contains a remote code execution vulnerability that allows attackers to run commands by defining git filter… | Mistral Vibe before 3.0.3 contains a remote code execution vulnerability that allows attackers to run commands by defining git filter drivers in an untrusted repository's .git/config. When started with --worktree, git worktree add applies .gitattributes and runs filter smudge, clean, or process… |
Obserwuj | 8,7 | 0,43 % | ||
| Omnispace Agora Project before 26.10.0 contains a SQL identifier injection vulnerability that allows a space administrator to escalate… | Omnispace Agora Project before 26.10.0 contains a SQL identifier injection vulnerability that allows a space administrator to escalate privileges by supplying caller-controlled agoraFields[] names as unvalidated SQL column identifiers during the user import flow. Attackers can inject privileged… |
Obserwuj | 8,7 | 0,43 % | ||
| Risesoft Digital-Infrastructure 9.6.5 through 9.6.11 contains a path traversal vulnerability in the fileManager… | Risesoft Digital-Infrastructure 9.6.5 through 9.6.11 contains a path traversal vulnerability in the fileManager Y9FileController.retrieveFileStream handler that allows unauthenticated attackers to read arbitrary files by supplying parent-directory segments in the fullPath and fileName parameters.… |
Obserwuj | 8,7 | 0,43 % | ||
| Błąd w elixir-grpc umożliwia atak DoS poprzez bombę dekompresyjną gzip. | Błąd w elixir-grpc umożliwia atak DoS poprzez bombę dekompresyjną gzip. |
Obserwuj | 8,7 | 0,43 % | ||
| HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a path traversal vulnerability that allows remote attackers to read sensitive server… | HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a path traversal vulnerability that allows remote attackers to read sensitive server files through LLM agent file-read tools. Attackers can prompt the agent to invoke read_document, which lacks sandbox checks, or safe_user_path-gated tools to… |
Obserwuj | 8,7 | 0,43 % | ||
| ZcashFoundation Zebra 6.4.0 before 6.4.2 parses version 6 transactions carrying a pre-NU6.3 consensus branch ID, but the size computation… | ZcashFoundation Zebra 6.4.0 before 6.4.2 parses version 6 transactions carrying a pre-NU6.3 consensus branch ID, but the size computation during UnminedTx construction treats re-serialization of the Orchard bundle as infallible, so the resulting error trips an expect that aborts zebrad.… |
Obserwuj | 8,7 | 0,43 % | ||
| Kimai versions before 2.56.0 fail to restrict the config() Twig function in sandboxed invoice and export templates, allowing… | Kimai versions before 2.56.0 fail to restrict the config() Twig function in sandboxed invoice and export templates, allowing administrators to access arbitrary configuration keys. Attackers with admin privileges can upload malicious templates to exfiltrate server-wide secrets including LDAP bind… |
Obserwuj | 8,7 | 0,43 % | ||
| Błąd w wtyczce Grav umożliwia atakującemu odgadnięcie tokenów resetowania haseł przez analizę czasów odpowiedzi. | Błąd w wtyczce Grav umożliwia atakującemu odgadnięcie tokenów resetowania haseł przez analizę czasów odpowiedzi. |
Obserwuj | 8,7 | 0,43 % | ||
| Wersje Renovate mogą ujawniać token autoryzacyjny bota w logach, co naraża na kradzież danych. | Wersje Renovate mogą ujawniać token autoryzacyjny bota w logach, co naraża na kradzież danych. |
Obserwuj | 8,7 | 0,43 % | ||
| Wyciek tokenów repozytoriów w Renovate umożliwia dostęp do wrażliwych danych w komentarzach. | Wyciek tokenów repozytoriów w Renovate umożliwia dostęp do wrażliwych danych w komentarzach. |
Obserwuj | 8,7 | 0,43 % | ||
| Wykorzystanie luki w ArcadeDB pozwala na odczyt dowolnych plików na systemie hosta. | Wykorzystanie luki w ArcadeDB pozwala na odczyt dowolnych plików na systemie hosta. |
Obserwuj | 8,7 | 0,43 % | ||
| Niewłaściwe ograniczenie zmiennych w OpenTofu może prowadzić do ujawnienia danych wrażliwych. | Niewłaściwe ograniczenie zmiennych w OpenTofu może prowadzić do ujawnienia danych wrażliwych. |
Obserwuj | 8,7 | 0,43 % | ||
| Włączenie serwera WWW w DEEBOT PRO M1 i K1VAC umożliwia dostęp do mapy podłogi i logów. | Włączenie serwera WWW w DEEBOT PRO M1 i K1VAC umożliwia dostęp do mapy podłogi i logów. |
Obserwuj | 8,7 | 0,43 % | ||
| Wstrzyknięcie poleceń w SINEC INS umożliwia zdalne wykonanie dowolnych komend. | Wstrzyknięcie poleceń w SINEC INS umożliwia zdalne wykonanie dowolnych komend. |
Obserwuj | 8,7 | 0,43 % | ||
| Songloft 2.9.0 before 2.13.6 contains a hardcoded credentials vulnerability that allows adjacent network attackers to authenticate as… | Songloft 2.9.0 before 2.13.6 contains a hardcoded credentials vulnerability that allows adjacent network attackers to authenticate as administrator using the fixed admin/admin pair. Attackers on the same network can log in via the /api/v1/auth/login endpoint to modify library and configuration… |
Obserwuj | 8,7 | 0,43 % | ||
| Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi. | Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi. |
Obserwuj | 8,7 | 0,43 % | ||
| Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi. | Dereferencja wskaźnika NULL w GNU libmicrohttpd prowadzi do awarii usługi. |
Obserwuj | 8,7 | 0,43 % | ||
| Wstrzyknięcie skryptów w Kestra umożliwia atak XSS przy otwieraniu opisu Flow. | Wstrzyknięcie skryptów w Kestra umożliwia atak XSS przy otwieraniu opisu Flow. |
Obserwuj | 8,7 | 0,43 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.