KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
containerd overlaybd through 1.0.18 has a do_load_index (LSMT index loading) integer overflow (and resultant out-of-bounds heap access) for index_bytes, if an untrusted overlaybd blob from a registry is used in a scenario with multiple overlaybd-backed containers.
Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora.
Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem.
Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a user's account via replay of a captured device verification link by an authenticated victim.
Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików.
Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning.
Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego.
Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych.
Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych.
Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych.
Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych.
Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych.
Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych.
The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.16 does not escape gallery lightbox configuration values before printing them into an inline script on every page that embeds the gallery, allowing users with contributor-level access and above to store JavaScript that executes…
The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize sends caller-supplied credential headers to a different host after an HTTP redirect. Mechanize#request_headers= is reapplied by Mechanize::HTTP::Agent#request_add_headers even after…
Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL.
The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the '/scanner/scan-without-login' REST API endpoint. This makes…
Open Zaak is an open-source data and services layer for Dutch case-oriented working. From 1.13.0 until 1.27.2, 1.28.2, and 1.29.0, _import_document_row in src/openzaak/components/documenten/tasks.py uses the attacker-controlled bestandspad CSV field without ensuring that the resolved path remains…
The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query, allowing authenticated users with the Editor role or above to perform SQL injection attacks.
The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in one of its media-library query handlers, allowing users with the Author role to perform SQL injection.
Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych.
The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before using it in a SQL query, allowing users holding the WP Hotel Booking WordPress plugin before 2.3.2's booking-management roles to perform SQL injection attacks.
Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy.
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.1 before 18.4.6, 18.5 before 18.5.4, and 18.6 before 18.6.2 that could have allowed an authenticated user to bypass WebAuthn two-factor authentication by manipulating the session state under certain conditions.
Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| containerd overlaybd through 1.0.18 has a do_load_index (LSMT index loading) integer overflow (and resultant out-of-bounds heap access)… | containerd overlaybd through 1.0.18 has a do_load_index (LSMT index loading) integer overflow (and resultant out-of-bounds heap access) for index_bytes, if an untrusted overlaybd blob from a registry is used in a scenario with multiple overlaybd-backed containers. |
Do wiadomości | 6,8 | 0,41 % | ||
| Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora. | Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora. |
Do wiadomości | 6,8 | 0,41 % | ||
| Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem. | Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem. |
Do wiadomości | 6,8 | 0,4 % | ||
| Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a… | Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a user's account via replay of a captured device verification link by an authenticated victim. |
Do wiadomości | 6,8 | 0,4 % | ||
| Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików. | Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików. |
Do wiadomości | 6,8 | 0,4 % | ||
| Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning. | Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego. | Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych. | Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych. | Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych. | Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych. | Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych. | Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych. | Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.16 does not escape gallery lightbox configuration values before… | The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.16 does not escape gallery lightbox configuration values before printing them into an inline script on every page that embeds the gallery, allowing users with contributor-level access and above to store JavaScript that executes… |
Do wiadomości | 6,8 | 0,4 % | ||
| The Mechanize library is used for automating interaction with websites. | The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize sends caller-supplied credential headers to a different host after an HTTP redirect. Mechanize#request_headers= is reapplied by Mechanize::HTTP::Agent#request_add_headers even after… |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL. | Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL. |
Do wiadomości | 6,8 | 0,39 % | ||
| The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions… | The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the '/scanner/scan-without-login' REST API endpoint. This makes… |
Do wiadomości | 6,8 | 0,39 % | ||
| Open Zaak is an open-source data and services layer for Dutch case-oriented working. | Open Zaak is an open-source data and services layer for Dutch case-oriented working. From 1.13.0 until 1.27.2, 1.28.2, and 1.29.0, _import_document_row in src/openzaak/components/documenten/tasks.py uses the attacker-controlled bestandspad CSV field without ensuring that the resolved path remains… |
Do wiadomości | 6,8 | 0,39 % | ||
| The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query,… | The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query, allowing authenticated users with the Editor role or above to perform SQL injection attacks. |
Do wiadomości | 6,8 | 0,39 % | ||
| The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in… | The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in one of its media-library query handlers, allowing users with the Author role to perform SQL injection. |
Do wiadomości | 6,8 | 0,39 % | ||
| Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych. | Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych. |
Do wiadomości | 6,8 | 0,39 % | ||
| The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before… | The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before using it in a SQL query, allowing users holding the WP Hotel Booking WordPress plugin before 2.3.2's booking-management roles to perform SQL injection attacks. |
Do wiadomości | 6,8 | 0,39 % | ||
| Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy. | Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy. |
Do wiadomości | 6,8 | 0,39 % | ||
| GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.1 before 18.4.6, 18.5 before 18.5.4, and 18.6 before 18.6.2… | GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.1 before 18.4.6, 18.5 before 18.5.4, and 18.6 before 18.6.2 that could have allowed an authenticated user to bypass WebAuthn two-factor authentication by manipulating the session state under certain conditions. |
Do wiadomości | 6,8 | 0,39 % | ||
| Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik. | Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik. |
Do wiadomości | 6,8 | 0,39 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.