KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Wykorzystanie podatności w dekodowaniu JPX w Popplerze prowadzi do ataku typu DoS.
W ChurchCRM występuje XSS, co pozwala na kradzież sesji i dostęp do danych użytkowników.
Grav from 1.7.53.3 before 1.7.53.6 contains an authorization bypass in Debugger::isDebuggerRequestAuthorized() that allows unauthenticated visitors to read /__clockwork/ profiler data via a loopback REMOTE_ADDR fallback. Behind a same-host reverse proxy, remote requests appear as loopback, letting…
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'CustomerMessage.php' file. Fixed in 123c97c.
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'Address.php' file. Fixed in 123c97c.
Błędy implementacji kryptograficznej w libcrux-ecdh, libcrux-ed25519 i libcrux-psq mogą prowadzić do osłabienia bezpieczeństwa.
Wstrzyknięcie NoSQL w PenguinMod-BackendApi pozwala na przejęcie konta przez uwierzytelnionego użytkownika.
pH7Builder (pH7 Social Dating CMS) before 18.6.0 contains a hard-coded API key vulnerability in Tool.class.php that allows unauthenticated attackers to bypass API access checks by spoofing the Host header. Attackers can send Host: localhost with private_api_key=dev772277 and the default allowed…
Kimai before 2.64.0 contains a missing authorization vulnerability in the ProjectViewController export route (report_project_view_export). The authorization guards are attached to the sibling __invoke method rather than at the class level, so the export route inherits no authorization checks. Any…
Nokogiri versions before 1.19.4 contain a possible invalid (out-of-bounds) memory read in the protected internal Node#initialize_copy_with_args helper behind Node#dup and #clone, which unwrapped its source argument as an xmlNode without a type check. If application code calls this protected method…
Luka w Plate pozwala na osadzenie złośliwego iframe przez zaufanie do niezweryfikowanego źródła.
Frappe Framework before 15.111.0 and 16.x before 16.21.0 contains a server-side template injection vulnerability because user-controlled message fields are rendered as templates without neutralization. An authenticated attacker holding a common operational role can inject template expressions that…
Nodemailer 3.0.0 before 10.0.13 has a regular expression denial of service in SMTPConnection._actionEHLO, whose four AUTH mechanism detection regexes contain overlapping whitespace sub-patterns that backtrack quadratically. A malicious or man-in-the-middle SMTP server can reply to EHLO with…
Frappe ERPNext before 15.119.1 and 16.x before 16.32.0 contains a server-side template injection vulnerability because user-controlled message fields are not validated before template rendering, allowing expressions to run in an unrestricted context. Authenticated attackers holding a common…
Niedostateczna lista zablokowanych elementów w Grav pozwala na ujawnienie tajnych wartości konfiguracyjnych.
Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu.
Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu.
Ujawnienie materiałów do derivacji kluczy w SiYuan pozwala na łamanie haseł offline.
W Cherry Studio występuje podatność na zdalne wykonanie kodu przez złośliwy JavaScript.
Luka w WebLogic Server pozwala na nieautoryzowany dostęp do krytycznych danych.
Wstrzyknięcie SQL w Vvveb CMS umożliwia atakującemu dostęp do danych użytkowników.
Kitodo.Production is a workflow management tool for mass digitization and is part of the Kitodo Digital Library Suite. Prior to version 3.9.2, org.kitodo.production.helper.XMLUtils exposes several XML parsing helpers that construct a JAXP parser with the default, non-secure configuration. The…
Grav 1.7.53 before 1.7.53.5 and 2.0.0-rc.8 before 2.2.2 contains a resource exhaustion vulnerability that allows anonymous visitors to bypass the system.images.max_pixels limit when system.images.url_actions is enabled. Attackers can send single-dimension or percentage forceResize, zoomCrop, or…
Wstrzyknięcie SQL w Craft Commerce pozwala uwierzytelnionym użytkownikom na eskalację uprawnień.
Snipe-IT before 8.5.0 contains a SAML assertion replay vulnerability that allows attackers to reuse captured assertions by exploiting a non-atomic nonce check in the SAML acs handler. Attackers can send concurrent POST requests to /saml/acs with one captured assertion to obtain multiple…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Wykorzystanie podatności w dekodowaniu JPX w Popplerze prowadzi do ataku typu DoS. | Wykorzystanie podatności w dekodowaniu JPX w Popplerze prowadzi do ataku typu DoS. |
Obserwuj | 8,7 | 0,31 % | ||
| W ChurchCRM występuje XSS, co pozwala na kradzież sesji i dostęp do danych użytkowników. | W ChurchCRM występuje XSS, co pozwala na kradzież sesji i dostęp do danych użytkowników. |
W tym tygodniu | 8,7 | 0,31 % | ||
| Grav from 1.7.53.3 before 1.7.53.6 contains an authorization bypass in Debugger::isDebuggerRequestAuthorized() that allows unauthenticated… | Grav from 1.7.53.3 before 1.7.53.6 contains an authorization bypass in Debugger::isDebuggerRequestAuthorized() that allows unauthenticated visitors to read /__clockwork/ profiler data via a loopback REMOTE_ADDR fallback. Behind a same-host reverse proxy, remote requests appear as loopback, letting… |
Obserwuj | 8,7 | 0,31 % | ||
| Webkul QloApps does not validate request parameters before a database query. | Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'CustomerMessage.php' file. Fixed in 123c97c. |
Obserwuj | 8,6 | 0,81 % | ||
| Webkul QloApps does not validate request parameters before a database query. | Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'Address.php' file. Fixed in 123c97c. |
Obserwuj | 8,6 | 0,81 % | ||
| Błędy implementacji kryptograficznej w libcrux-ecdh, libcrux-ed25519 i libcrux-psq mogą prowadzić do osłabienia bezpieczeństwa. | Błędy implementacji kryptograficznej w libcrux-ecdh, libcrux-ed25519 i libcrux-psq mogą prowadzić do osłabienia bezpieczeństwa. |
Obserwuj | 8,7 | 0,31 % | ||
| Wstrzyknięcie NoSQL w PenguinMod-BackendApi pozwala na przejęcie konta przez uwierzytelnionego użytkownika. | Wstrzyknięcie NoSQL w PenguinMod-BackendApi pozwala na przejęcie konta przez uwierzytelnionego użytkownika. |
Obserwuj | 8,7 | 0,31 % | ||
| pH7Builder (pH7 Social Dating CMS) before 18.6.0 contains a hard-coded API key vulnerability in Tool.class.php that allows unauthenticated… | pH7Builder (pH7 Social Dating CMS) before 18.6.0 contains a hard-coded API key vulnerability in Tool.class.php that allows unauthenticated attackers to bypass API access checks by spoofing the Host header. Attackers can send Host: localhost with private_api_key=dev772277 and the default allowed… |
Obserwuj | 8,7 | 0,31 % | ||
| Kimai before 2.64.0 contains a missing authorization vulnerability in the ProjectViewController export route (report_project_view_export). | Kimai before 2.64.0 contains a missing authorization vulnerability in the ProjectViewController export route (report_project_view_export). The authorization guards are attached to the sibling __invoke method rather than at the class level, so the export route inherits no authorization checks. Any… |
Obserwuj | 8,7 | 0,31 % | ||
| Nokogiri versions before 1.19.4 contain a possible invalid (out-of-bounds) memory read in the protected internal… | Nokogiri versions before 1.19.4 contain a possible invalid (out-of-bounds) memory read in the protected internal Node#initialize_copy_with_args helper behind Node#dup and #clone, which unwrapped its source argument as an xmlNode without a type check. If application code calls this protected method… |
Obserwuj | 8,7 | 0,31 % | ||
| Luka w Plate pozwala na osadzenie złośliwego iframe przez zaufanie do niezweryfikowanego źródła. | Luka w Plate pozwala na osadzenie złośliwego iframe przez zaufanie do niezweryfikowanego źródła. |
Obserwuj | 8,7 | 0,31 % | ||
| Frappe Framework before 15.111.0 and 16.x before 16.21.0 contains a server-side template injection vulnerability because user-controlled… | Frappe Framework before 15.111.0 and 16.x before 16.21.0 contains a server-side template injection vulnerability because user-controlled message fields are rendered as templates without neutralization. An authenticated attacker holding a common operational role can inject template expressions that… |
Obserwuj | 8,7 | 0,31 % | ||
| Nodemailer 3.0.0 before 10.0.13 has a regular expression denial of service in SMTPConnection._actionEHLO, whose four AUTH mechanism… | Nodemailer 3.0.0 before 10.0.13 has a regular expression denial of service in SMTPConnection._actionEHLO, whose four AUTH mechanism detection regexes contain overlapping whitespace sub-patterns that backtrack quadratically. A malicious or man-in-the-middle SMTP server can reply to EHLO with… |
Obserwuj | 8,7 | 0,31 % | ||
| Frappe ERPNext before 15.119.1 and 16.x before 16.32.0 contains a server-side template injection vulnerability because user-controlled… | Frappe ERPNext before 15.119.1 and 16.x before 16.32.0 contains a server-side template injection vulnerability because user-controlled message fields are not validated before template rendering, allowing expressions to run in an unrestricted context. Authenticated attackers holding a common… |
Obserwuj | 8,7 | 0,31 % | ||
| Niedostateczna lista zablokowanych elementów w Grav pozwala na ujawnienie tajnych wartości konfiguracyjnych. | Niedostateczna lista zablokowanych elementów w Grav pozwala na ujawnienie tajnych wartości konfiguracyjnych. |
Obserwuj | 8,7 | 0,31 % | ||
| Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu. |
Obserwuj | 8,6 | 0,8 % | ||
| Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w Edimax EW-7478APC umożliwia zdalne wykonanie kodu. |
Obserwuj | 8,6 | 0,8 % | ||
| Ujawnienie materiałów do derivacji kluczy w SiYuan pozwala na łamanie haseł offline. | Ujawnienie materiałów do derivacji kluczy w SiYuan pozwala na łamanie haseł offline. |
Obserwuj | 8,7 | 0,31 % | ||
| W Cherry Studio występuje podatność na zdalne wykonanie kodu przez złośliwy JavaScript. | W Cherry Studio występuje podatność na zdalne wykonanie kodu przez złośliwy JavaScript. |
Obserwuj | 8,6 | 0,8 % | ||
| Luka w WebLogic Server pozwala na nieautoryzowany dostęp do krytycznych danych. | Luka w WebLogic Server pozwala na nieautoryzowany dostęp do krytycznych danych. |
Obserwuj | 8,7 | 0,31 % | ||
| Wstrzyknięcie SQL w Vvveb CMS umożliwia atakującemu dostęp do danych użytkowników. | Wstrzyknięcie SQL w Vvveb CMS umożliwia atakującemu dostęp do danych użytkowników. |
Obserwuj | 8,7 | 0,31 % | ||
| Kitodo.Production is a workflow management tool for mass digitization and is part of the Kitodo Digital Library Suite. | Kitodo.Production is a workflow management tool for mass digitization and is part of the Kitodo Digital Library Suite. Prior to version 3.9.2, org.kitodo.production.helper.XMLUtils exposes several XML parsing helpers that construct a JAXP parser with the default, non-secure configuration. The… |
Obserwuj | 8,7 | 0,3 % | ||
| Grav 1.7.53 before 1.7.53.5 and 2.0.0-rc.8 before 2.2.2 contains a resource exhaustion vulnerability that allows anonymous visitors to… | Grav 1.7.53 before 1.7.53.5 and 2.0.0-rc.8 before 2.2.2 contains a resource exhaustion vulnerability that allows anonymous visitors to bypass the system.images.max_pixels limit when system.images.url_actions is enabled. Attackers can send single-dimension or percentage forceResize, zoomCrop, or… |
Obserwuj | 8,7 | 0,3 % | ||
| Wstrzyknięcie SQL w Craft Commerce pozwala uwierzytelnionym użytkownikom na eskalację uprawnień. | Wstrzyknięcie SQL w Craft Commerce pozwala uwierzytelnionym użytkownikom na eskalację uprawnień. |
Obserwuj | 8,7 | 0,3 % | ||
| Snipe-IT before 8.5.0 contains a SAML assertion replay vulnerability that allows attackers to reuse captured assertions by exploiting a… | Snipe-IT before 8.5.0 contains a SAML assertion replay vulnerability that allows attackers to reuse captured assertions by exploiting a non-atomic nonce check in the SAML acs handler. Attackers can send concurrent POST requests to /saml/acs with one captured assertion to obtain multiple… |
Obserwuj | 8,7 | 0,3 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.