KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Brak jednorazowego użycia tokenów resetujących hasło w Parse Server umożliwia atakującym przejęcie kontroli nad kontem użytkownika.
Problem z logiką w systemach Apple pozwala na przechwytywanie ruchu sieciowego.
Wstrzyknięcie uprawnień w Dovecot umożliwia spamowanie folderów do innych użytkowników.
Nieodpowiednia implementacja MHTML w Google Chrome umożliwia wyciek danych między źródłami.
Atak na backend TCP lub DNS over TLS może prowadzić do niezgodności między zapytaniami a odpowiedziami.
Fałszywy backend może wysłać zmanipulowaną odpowiedź SVCB, co prowadzi do ataków na resolver.
Niewystarczające egzekwowanie polityki CORS w Google Chrome pozwala na wyciek danych międzyoriginowych.
Niewystarczające egzekwowanie polityki w Google Chrome umożliwia zdalnemu atakującemu wyciek danych.
Brak weryfikacji dostępu w Weblate pozwala na ujawnienie logów zadań użytkownikom bez uprawnień.
Brak walidacji tokenów OIDC w Flux notification-controller umożliwia nieautoryzowane rekonsyliacje.
Wadliwa obsługa danych w Shenzhen HCC Technology MPOS M6 PLUS umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej.
Obejście autoryzacji w mickasmt next-saas-stripe-starter 1.0.0 umożliwia zdalny dostęp do funkcji bez odpowiednich uprawnień.
Wykorzystanie podatności w Yi Home Camera 2 umożliwia dostęp do hardkodowanego klucza kryptograficznego w lokalnej sieci.
Podatność w MediaWiki umożliwia zdalne wykonanie kodu poprzez manipulację plikami PHP, co może prowadzić do przejęcia kontroli nad serwerem.
Błąd w serwerze Keycloak pozwala na wielokrotne użycie tego samego tokena odświeżającego.
W wiadomości WebSocket w JetBrains YouTrack można zmodyfikować zawartość kanwy przez użytkowników tylko do odczytu.
The Dyson MQTT server (2022 and possibly later) allows publications and subscriptions by a client that has the correct values of AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN, and device serial number, even if a device (such as a Pure Hot+Cool device) has been removed and is not…
Brak sandboxingu w OpenStack Ironic umożliwia wykonanie niebezpiecznego kodu.
W MobSF przed wersją 4.5.1 atakujący może uzyskać dostęp do wewnętrznych usług przez złośliwy APK.
Backstage is an open framework for building developer portals. Prior to 1.54.6, cloud storage catalog providers did not sufficiently validate object paths. A principal able to create or rename objects in a configured Azure Blob Storage or AWS S3 catalog source could cause catalog descriptors to be…
Błąd w VictoriaMetrics umożliwia zdalne przeprowadzenie nadmiernych prób uwierzytelnienia.
Vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Portal). Supported versions that are affected are 8.61-8.63. Difficult to exploit vulnerability allows low privileged attacker with network access via HTTP to compromise PeopleSoft Enterprise…
Mattermost versions 10.11.x <= 10.11.6 and Mattermost GitHub plugin versions <=2.4.0 fail to validate plugin bot identity in reaction forwarding which allows attackers to hijack the GitHub reaction feature to make users add reactions to arbitrary GitHub objects via crafted notification posts.
Atak SSRF w Aimeos Pagible umożliwia dostęp do zasobów wewnętrznych sieci.
Floodlight 71fe8a7 allows disruption of host communication via link spoofing. A port is misclassified as a non-boundary.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Brak jednorazowego użycia tokenów resetujących hasło w Parse Server umożliwia atakującym przejęcie kontroli nad kontem użytkownika. | Brak jednorazowego użycia tokenów resetujących hasło w Parse Server umożliwia atakującym przejęcie kontroli nad kontem użytkownika. |
Do wiadomości | 3,1 | 0,02 % | ||
| Problem z logiką w systemach Apple pozwala na przechwytywanie ruchu sieciowego. | Problem z logiką w systemach Apple pozwala na przechwytywanie ruchu sieciowego. |
Do wiadomości | 3,1 | 0,02 % | ||
| Wstrzyknięcie uprawnień w Dovecot umożliwia spamowanie folderów do innych użytkowników. | Wstrzyknięcie uprawnień w Dovecot umożliwia spamowanie folderów do innych użytkowników. |
Do wiadomości | 3,1 | 0,01 % | ||
| Nieodpowiednia implementacja MHTML w Google Chrome umożliwia wyciek danych między źródłami. | Nieodpowiednia implementacja MHTML w Google Chrome umożliwia wyciek danych między źródłami. |
Do wiadomości | 3,1 | 0,01 % | ||
| Atak na backend TCP lub DNS over TLS może prowadzić do niezgodności między zapytaniami a odpowiedziami. | Atak na backend TCP lub DNS over TLS może prowadzić do niezgodności między zapytaniami a odpowiedziami. |
Do wiadomości | 3,1 | 0,01 % | ||
| Fałszywy backend może wysłać zmanipulowaną odpowiedź SVCB, co prowadzi do ataków na resolver. | Fałszywy backend może wysłać zmanipulowaną odpowiedź SVCB, co prowadzi do ataków na resolver. |
Do wiadomości | 3,1 | 0,01 % | ||
| Niewystarczające egzekwowanie polityki CORS w Google Chrome pozwala na wyciek danych międzyoriginowych. | Niewystarczające egzekwowanie polityki CORS w Google Chrome pozwala na wyciek danych międzyoriginowych. |
Do wiadomości | 3,1 | 0,01 % | ||
| Niewystarczające egzekwowanie polityki w Google Chrome umożliwia zdalnemu atakującemu wyciek danych. | Niewystarczające egzekwowanie polityki w Google Chrome umożliwia zdalnemu atakującemu wyciek danych. |
Do wiadomości | 3,1 | 0,01 % | ||
| Brak weryfikacji dostępu w Weblate pozwala na ujawnienie logów zadań użytkownikom bez uprawnień. | Brak weryfikacji dostępu w Weblate pozwala na ujawnienie logów zadań użytkownikom bez uprawnień. |
Do wiadomości | 3,1 | 0,01 % | ||
| Brak walidacji tokenów OIDC w Flux notification-controller umożliwia nieautoryzowane rekonsyliacje. | Brak walidacji tokenów OIDC w Flux notification-controller umożliwia nieautoryzowane rekonsyliacje. |
Do wiadomości | 3,1 | 0,01 % | ||
| Wadliwa obsługa danych w Shenzhen HCC Technology MPOS M6 PLUS umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. | Wadliwa obsługa danych w Shenzhen HCC Technology MPOS M6 PLUS umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. |
Do wiadomości | 3,1 | 0,01 % | ||
| Obejście autoryzacji w mickasmt next-saas-stripe-starter 1.0.0 umożliwia zdalny dostęp do funkcji bez odpowiednich uprawnień. | Obejście autoryzacji w mickasmt next-saas-stripe-starter 1.0.0 umożliwia zdalny dostęp do funkcji bez odpowiednich uprawnień. |
Do wiadomości | 3,1 | 0,01 % | ||
| Wykorzystanie podatności w Yi Home Camera 2 umożliwia dostęp do hardkodowanego klucza kryptograficznego w lokalnej sieci. | Wykorzystanie podatności w Yi Home Camera 2 umożliwia dostęp do hardkodowanego klucza kryptograficznego w lokalnej sieci. |
Do wiadomości | 3,1 | 0,01 % | ||
| Podatność w MediaWiki umożliwia zdalne wykonanie kodu poprzez manipulację plikami PHP, co może prowadzić do przejęcia kontroli nad serwerem. | Podatność w MediaWiki umożliwia zdalne wykonanie kodu poprzez manipulację plikami PHP, co może prowadzić do przejęcia kontroli nad serwerem. |
Do wiadomości | 3,1 | 0,01 % | ||
| Błąd w serwerze Keycloak pozwala na wielokrotne użycie tego samego tokena odświeżającego. | Błąd w serwerze Keycloak pozwala na wielokrotne użycie tego samego tokena odświeżającego. |
Do wiadomości | 3,1 | 0,01 % | ||
| W wiadomości WebSocket w JetBrains YouTrack można zmodyfikować zawartość kanwy przez użytkowników tylko do odczytu. | W wiadomości WebSocket w JetBrains YouTrack można zmodyfikować zawartość kanwy przez użytkowników tylko do odczytu. |
Do wiadomości | 3,1 | Nieustalone | ||
| The Dyson MQTT server (2022 and possibly later) allows publications and subscriptions by a client that has the correct values of… | The Dyson MQTT server (2022 and possibly later) allows publications and subscriptions by a client that has the correct values of AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN, and device serial number, even if a device (such as a Pure Hot+Cool device) has been removed and is not… |
Do wiadomości | 3,0 | 0,38 % | ||
| Brak sandboxingu w OpenStack Ironic umożliwia wykonanie niebezpiecznego kodu. | Brak sandboxingu w OpenStack Ironic umożliwia wykonanie niebezpiecznego kodu. |
Do wiadomości | 3,0 | 0,34 % | ||
| W MobSF przed wersją 4.5.1 atakujący może uzyskać dostęp do wewnętrznych usług przez złośliwy APK. | W MobSF przed wersją 4.5.1 atakujący może uzyskać dostęp do wewnętrznych usług przez złośliwy APK. |
Do wiadomości | 3,0 | 0,33 % | ||
| Backstage is an open framework for building developer portals. | Backstage is an open framework for building developer portals. Prior to 1.54.6, cloud storage catalog providers did not sufficiently validate object paths. A principal able to create or rename objects in a configured Azure Blob Storage or AWS S3 catalog source could cause catalog descriptors to be… |
Do wiadomości | 3,0 | 0,26 % | ||
| Błąd w VictoriaMetrics umożliwia zdalne przeprowadzenie nadmiernych prób uwierzytelnienia. | Błąd w VictoriaMetrics umożliwia zdalne przeprowadzenie nadmiernych prób uwierzytelnienia. |
Do wiadomości | 2,9 | 0,75 % | ||
| Vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Portal). | Vulnerability in the PeopleSoft Enterprise PeopleTools product of Oracle PeopleSoft (component: Portal). Supported versions that are affected are 8.61-8.63. Difficult to exploit vulnerability allows low privileged attacker with network access via HTTP to compromise PeopleSoft Enterprise… |
Do wiadomości | 3,0 | 0,2 % | ||
| Mattermost versions 10.11.x <= 10.11.6 and Mattermost GitHub plugin versions <=2.4.0 fail to validate plugin bot identity in reaction… | Mattermost versions 10.11.x <= 10.11.6 and Mattermost GitHub plugin versions <=2.4.0 fail to validate plugin bot identity in reaction forwarding which allows attackers to hijack the GitHub reaction feature to make users add reactions to arbitrary GitHub objects via crafted notification posts. |
Do wiadomości | 3,0 | 0,18 % | ||
| Atak SSRF w Aimeos Pagible umożliwia dostęp do zasobów wewnętrznych sieci. | Atak SSRF w Aimeos Pagible umożliwia dostęp do zasobów wewnętrznych sieci. |
Do wiadomości | 3,0 | 0,17 % | ||
| Floodlight 71fe8a7 allows disruption of host communication via link spoofing. | Floodlight 71fe8a7 allows disruption of host communication via link spoofing. A port is misclassified as a non-boundary. |
Do wiadomości | 3,0 | 0,15 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.