KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Wstrzyknięcie SQL w funkcji _mb24api_getUserAccount umożliwia zdalne ujawnienie danych.
Niewystarczająca walidacja danych w BFCache w Google Chrome umożliwia zdalne obejście piaskownicy.
Dokploy through 0.30.10 contains an authorization bypass vulnerability that allows owners or admins of any organization to control other tenants' applications by supplying foreign applicationId values. Attackers can call procedures like saveEnvironment, updateTraefikConfig, deploy, or stop to…
MediaAgent contained a heap-based buffer overflow issue affecting service availability. Software customers upgrade to resolved maintenance release. Update Commvault installation of MediaAgents and HyperScale.
Wersje OpenSSL przed 1.4.0 ujawniają hasła w argumentach procesu, co pozwala na ich odczyt przez atakujących.
Brak ograniczeń w alokacji zasobów w Qt może prowadzić do zablokowania aplikacji.
PJSIP is a free and open source multimedia communication library. Prior to version 2.16, Opus PLC may zero-fill the input frame as long as the decoder ptime, while the input frame length, which is based on stream ptime, may be less than that. This issue affects PJSIP users who use the Opus audio…
Open WebUI from 0.11.1 before 0.11.4 contains a stored cross-site scripting vulnerability in DocxPreview.svelte that allows authenticated users to execute script by uploading crafted DOCX attachments. Attackers can embed an OOXML altChunk HTML part or script-scheme hyperlink to steal a previewing…
In Secret Server versions earlier than 12.3.1, a user could bypass the initial login step and authenticate by successfully negotiating the second factor login step only.
The internal data publisher on openPDC accepts network connections without authentication in its default configuration. An unauthenticated network attacker can connect to this interface and retrieve the complete device and measurement topology of the system.
Plane is an open-source project management tool. Prior to 1.4.0, the GraphQL joinProject mutation lets any workspace member add themselves to any project in that workspace including network=0 (secret/private) projects they were never invited to and grants them a full Member role (read + write).…
Plane is an open-source project management tool. Prior to 1.4.0, GET /api/workspaces/{slug}/entity-search/?query_type=user_mention returns workspace-member display names, UUIDs, and avatar URLs to any authenticated user who knows the workspace slug, even when the caller is not a workspace member.…
A lack of authentication in the mobile app (APK v5.5.0) for Ghost Robotics' Vision 60 robot allows an unauthenticated attacker connected to the device's internal Wi-Fi network to gain unrestricted access to the web administration interface and the HTTP API. Due to the lack of authorization…
Niewystarczająca entropia w zarządzaniu sesjami umożliwia nieautoryzowany dostęp przez atakującego.
Form.io is a combined Form and API platform for Serverless applications. Versions 3.5.6 and below and 4.0.0-rc.1 through 4.4.2 contain a flaw in path handling which could allow an attacker to access protected API endpoints by sending a crafted request path. An unauthenticated or unauthorized…
Brak kontroli dostępu w API rezerwacji SpiceJet pozwala na nieautoryzowane odczyty PNR.
Coop is an open source review and moderation tool from ROOST. Prior to 1.0.0, an unauthenticated actor can query `Query.allOrgs` through `/api/v1/graphql` on a publicly accessible deployment and obtain data for all organizations, including organization IDs, names, email addresses, website URLs and…
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Difficult to exploit vulnerability allows unauthenticated attacker with network access via HTTP to compromise…
GitPython before 3.2.0 contains an argument injection vulnerability in Head.checkout() that allows remote attackers to read arbitrary files by supplying a branch name parsed as a git option. Attackers can host a repository whose default branch is named --pathspec-from-file=<path>, causing cloning…
Wtyczka LoginControl w WWBN AVideo umożliwia atak XSS przez złośliwe nagłówki User-Agent.
Podatność w RELATE umożliwia studentom wykonanie dowolnego JavaScriptu w sesji przeglądarki administratora.
Wtyczka Backup Migration w WordPressie umożliwia pobranie kopii zapasowej bazy danych przez nieautoryzowanych użytkowników.
On affected Arista access points with Wireless Intrusion Prevention System (WIPS) active, an unauthenticated attacker within radio frequency (RF) proximity can send a crafted frame to crash the sensor service, disabling WIPS monitoring on the access point, or potentially achieve remote code…
Ujawnienie informacji w pluginie Grav Admin2 pozwala atakującym na identyfikację wersji i wybór exploitów.
Wstrzyknięcie SQL w Ghidra umożliwia zdalnym atakującym manipulację danymi w bazie PostgreSQL.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Wstrzyknięcie SQL w funkcji _mb24api_getUserAccount umożliwia zdalne ujawnienie danych. | Wstrzyknięcie SQL w funkcji _mb24api_getUserAccount umożliwia zdalne ujawnienie danych. |
Obserwuj | 8,7 | 0,32 % | ||
| Niewystarczająca walidacja danych w BFCache w Google Chrome umożliwia zdalne obejście piaskownicy. | Niewystarczająca walidacja danych w BFCache w Google Chrome umożliwia zdalne obejście piaskownicy. |
Obserwuj | 8,7 | 0,32 % | ||
| Dokploy through 0.30.10 contains an authorization bypass vulnerability that allows owners or admins of any organization to control other… | Dokploy through 0.30.10 contains an authorization bypass vulnerability that allows owners or admins of any organization to control other tenants' applications by supplying foreign applicationId values. Attackers can call procedures like saveEnvironment, updateTraefikConfig, deploy, or stop to… |
Obserwuj | 8,7 | 0,32 % | ||
| MediaAgent contained a heap-based buffer overflow issue affecting service availability. | MediaAgent contained a heap-based buffer overflow issue affecting service availability. Software customers upgrade to resolved maintenance release. Update Commvault installation of MediaAgents and HyperScale. |
Obserwuj | 8,7 | 0,32 % | ||
| Wersje OpenSSL przed 1.4.0 ujawniają hasła w argumentach procesu, co pozwala na ich odczyt przez atakujących. | Wersje OpenSSL przed 1.4.0 ujawniają hasła w argumentach procesu, co pozwala na ich odczyt przez atakujących. |
Obserwuj | 8,7 | 0,32 % | ||
| Brak ograniczeń w alokacji zasobów w Qt może prowadzić do zablokowania aplikacji. | Brak ograniczeń w alokacji zasobów w Qt może prowadzić do zablokowania aplikacji. |
Obserwuj | 8,7 | 0,32 % | ||
| PJSIP is a free and open source multimedia communication library. | PJSIP is a free and open source multimedia communication library. Prior to version 2.16, Opus PLC may zero-fill the input frame as long as the decoder ptime, while the input frame length, which is based on stream ptime, may be less than that. This issue affects PJSIP users who use the Opus audio… |
Obserwuj | 8,7 | 0,32 % | ||
| Open WebUI from 0.11.1 before 0.11.4 contains a stored cross-site scripting vulnerability in DocxPreview.svelte that allows authenticated… | Open WebUI from 0.11.1 before 0.11.4 contains a stored cross-site scripting vulnerability in DocxPreview.svelte that allows authenticated users to execute script by uploading crafted DOCX attachments. Attackers can embed an OOXML altChunk HTML part or script-scheme hyperlink to steal a previewing… |
Obserwuj | 8,7 | 0,31 % | ||
| In Secret Server versions earlier than 12.3.1, a user could bypass the initial login step and authenticate by successfully negotiating the… | In Secret Server versions earlier than 12.3.1, a user could bypass the initial login step and authenticate by successfully negotiating the second factor login step only. |
Obserwuj | 8,7 | 0,31 % | ||
| The internal data publisher on openPDC accepts network connections without authentication in its default configuration. | The internal data publisher on openPDC accepts network connections without authentication in its default configuration. An unauthenticated network attacker can connect to this interface and retrieve the complete device and measurement topology of the system. |
Obserwuj | 8,7 | 0,31 % | ||
| Plane is an open-source project management tool. | Plane is an open-source project management tool. Prior to 1.4.0, the GraphQL joinProject mutation lets any workspace member add themselves to any project in that workspace including network=0 (secret/private) projects they were never invited to and grants them a full Member role (read + write).… |
Obserwuj | 8,7 | 0,31 % | ||
| Plane is an open-source project management tool. | Plane is an open-source project management tool. Prior to 1.4.0, GET /api/workspaces/{slug}/entity-search/?query_type=user_mention returns workspace-member display names, UUIDs, and avatar URLs to any authenticated user who knows the workspace slug, even when the caller is not a workspace member.… |
Obserwuj | 8,7 | 0,31 % | ||
| A lack of authentication in the mobile app (APK v5.5.0) for Ghost Robotics' Vision 60 robot allows an unauthenticated attacker connected… | A lack of authentication in the mobile app (APK v5.5.0) for Ghost Robotics' Vision 60 robot allows an unauthenticated attacker connected to the device's internal Wi-Fi network to gain unrestricted access to the web administration interface and the HTTP API. Due to the lack of authorization… |
Obserwuj | 8,7 | 0,31 % | ||
| Niewystarczająca entropia w zarządzaniu sesjami umożliwia nieautoryzowany dostęp przez atakującego. | Niewystarczająca entropia w zarządzaniu sesjami umożliwia nieautoryzowany dostęp przez atakującego. |
Obserwuj | 8,7 | 0,31 % | ||
| Form.io is a combined Form and API platform for Serverless applications. | Form.io is a combined Form and API platform for Serverless applications. Versions 3.5.6 and below and 4.0.0-rc.1 through 4.4.2 contain a flaw in path handling which could allow an attacker to access protected API endpoints by sending a crafted request path. An unauthenticated or unauthorized… |
Obserwuj | 8,7 | 0,31 % | ||
| Brak kontroli dostępu w API rezerwacji SpiceJet pozwala na nieautoryzowane odczyty PNR. | Brak kontroli dostępu w API rezerwacji SpiceJet pozwala na nieautoryzowane odczyty PNR. |
Obserwuj | 8,7 | 0,31 % | ||
| Coop is an open source review and moderation tool from ROOST. | Coop is an open source review and moderation tool from ROOST. Prior to 1.0.0, an unauthenticated actor can query `Query.allOrgs` through `/api/v1/graphql` on a publicly accessible deployment and obtain data for all organizations, including organization IDs, names, email addresses, website URLs and… |
Obserwuj | 8,7 | 0,31 % | ||
| Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine). | Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Difficult to exploit vulnerability allows unauthenticated attacker with network access via HTTP to compromise… |
Obserwuj | 8,7 | 0,31 % | ||
| GitPython before 3.2.0 contains an argument injection vulnerability in Head.checkout() that allows remote attackers to read arbitrary… | GitPython before 3.2.0 contains an argument injection vulnerability in Head.checkout() that allows remote attackers to read arbitrary files by supplying a branch name parsed as a git option. Attackers can host a repository whose default branch is named --pathspec-from-file=<path>, causing cloning… |
Obserwuj | 8,7 | 0,31 % | ||
| Wtyczka LoginControl w WWBN AVideo umożliwia atak XSS przez złośliwe nagłówki User-Agent. | Wtyczka LoginControl w WWBN AVideo umożliwia atak XSS przez złośliwe nagłówki User-Agent. |
Obserwuj | 8,7 | 0,31 % | ||
| Podatność w RELATE umożliwia studentom wykonanie dowolnego JavaScriptu w sesji przeglądarki administratora. | Podatność w RELATE umożliwia studentom wykonanie dowolnego JavaScriptu w sesji przeglądarki administratora. |
Obserwuj | 8,7 | 0,31 % | ||
| Wtyczka Backup Migration w WordPressie umożliwia pobranie kopii zapasowej bazy danych przez nieautoryzowanych użytkowników. | Wtyczka Backup Migration w WordPressie umożliwia pobranie kopii zapasowej bazy danych przez nieautoryzowanych użytkowników. |
Obserwuj | 8,7 | 0,31 % | ||
| On affected Arista access points with Wireless Intrusion Prevention System (WIPS) active, an unauthenticated attacker within radio… | On affected Arista access points with Wireless Intrusion Prevention System (WIPS) active, an unauthenticated attacker within radio frequency (RF) proximity can send a crafted frame to crash the sensor service, disabling WIPS monitoring on the access point, or potentially achieve remote code… |
Obserwuj | 8,7 | 0,31 % | ||
| Ujawnienie informacji w pluginie Grav Admin2 pozwala atakującym na identyfikację wersji i wybór exploitów. | Ujawnienie informacji w pluginie Grav Admin2 pozwala atakującym na identyfikację wersji i wybór exploitów. |
Obserwuj | 8,7 | 0,31 % | ||
| Wstrzyknięcie SQL w Ghidra umożliwia zdalnym atakującym manipulację danymi w bazie PostgreSQL. | Wstrzyknięcie SQL w Ghidra umożliwia zdalnym atakującym manipulację danymi w bazie PostgreSQL. |
Obserwuj | 8,7 | 0,31 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.