KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Obejście ograniczeń w HedgeDoc umożliwia atakującym spamowanie logowań i rejestracji.
In Eclipse Jetty, across various versions of `jetty-security`, and `jetty-eeN-security`, two or more security constraints with the same http-method-omission set, and no url-patterns, are not combined properly per Jakarta Servlet Spec. Resulting in later http-method-omission sets overriding…
Wazuh from 3.9.0 before 4.14.8 contains an uncontrolled YAML alias expansion vulnerability in yaml2json_node that allows a manager-controlled policy to exhaust agent memory. Attackers controlling the manager can push a small SCA policy with nested aliases via merged.mg to OOM-kill wazuh-modulesd…
Brak wymuszenia widoczności po stronie serwera w Hi.Events pozwala na zakup ukrytych biletów przez nieautoryzowanych użytkowników.
PocketMine-MP versions before 5.25.2 fail to limit the explode() function in packet parsing, allowing malicious clients to waste server resources. Attackers can send crafted packets with excessive delimiters to consume CPU and memory through sign editing, JWT parsing, and command parsing endpoints.
A vulnerability was detected in Fdawgs node-poppler up to 9.1.2/10.0.1. The impacted element is the function pdfInfo/pdfToText/pdfToCairo/pdfToPpm/pdfImages/pdfToHtml/pdfToPs/pdfFonts/pdfDetach/pdfAttach/pdfSeparate/pdfUnite of the file src/index.js of the component Argument Injection Handler.…
Brak ograniczeń w Mira cloud umożliwia atakującym uzyskanie dostępu do kont użytkowników.
Błąd w rsync umożliwia atakującym obejście filtrów i dostęp do zastrzeżonych plików.
Błąd w ESP32 podczas reklamowania może prowadzić do fałszywego raportowania nawiązania połączenia.
Brak limitu szybkości w metodzie sendForgotPasswordEmail w Rocket.Chat pozwala na masowe wysyłanie e-maili resetujących hasło.
Sharp and Toshiba Tec MFPs (multifunction printers) fail to properly authorize requests to directly access certain image data stored to the affected product.
W AIL Framework występuje podatność na przechowywane XSS, co pozwala na wykonanie złośliwego kodu.
Podatność w AIL Project umożliwia zdalne wykonanie skryptu przez wstrzyknięcie JavaScript w wiadomościach.
An unauthenticated remote attacker can inject malicious firmware into the internal charging module because the JupiCore service transmits firmware updates without performing integrity or verification check. Successful exploitation may compromise the integrity of the affected device. This…
A weakness has been identified in nemoTyrant manong up to 7c9e5228e133b9267ad3a415833bc9bb53193bb4. This impacts the function cache/del_cache/arr2sql of the file func.php. This manipulation causes sql injection. The attack may be initiated remotely. This product uses a rolling release model to…
SiYuan versions before v3.8.0 contain an incomplete path blocklist in the MCP file tool that fails to restrict access to sensitive workspace files protected by the HTTP API. Authenticated administrators can read plaintext publish-mode passwords from data/.siyuan/publishAccess.json and access other…
A SQL injection vulnerability exists in Security Center that could allow an authenticated administrator to execute arbitrary SQL queries, potentially resulting in unauthorized access to sensitive data, including credentials.
Chaskiq through 2.0.3 contains a server-side request forgery vulnerability that allows unauthenticated attackers to make the server fetch arbitrary URLs via the url parameter of the /oembed endpoint. Attackers can target loopback, private, or cloud-metadata addresses through FetchLinkCardService,…
Engineercms through 2.0.5 contains a missing authorization vulnerability in AttachController.Attachment that allows unauthenticated attackers to download project image and video attachments. Attackers can request known or derived /attachment/* paths for .jpg, .png, .bmp, or .mp4 files, which are…
Bitwarden Server before 2026.7.2 does not verify that the caller is a member of the organization identified in a POST /collect request body, allowing any authenticated user to write forged, arbitrarily backdated entries into any organization's audit log.
Błąd w algorytmie uwierzytelniania w DEEBOT PRO M1 i K1VAC pozwala na nieautoryzowane sterowanie robotem.
Wykorzystanie luki w iControl REST w trybie Appliance pozwala na usunięcie plików przez atakującego.
Przesyłanie tokena sesji i identyfikatora użytkownika w WebView Mira naraża na kradzież danych.
Brak uwierzytelnienia w PraisonAI umożliwia nieautoryzowany dostęp do narzędzi.
Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Obejście ograniczeń w HedgeDoc umożliwia atakującym spamowanie logowań i rejestracji. | Obejście ograniczeń w HedgeDoc umożliwia atakującym spamowanie logowań i rejestracji. |
Do wiadomości | 6,9 | 0,41 % | ||
| In Eclipse Jetty, across various versions of `jetty-security`, and `jetty-eeN-security`, two or more security constraints with the same… | In Eclipse Jetty, across various versions of `jetty-security`, and `jetty-eeN-security`, two or more security constraints with the same http-method-omission set, and no url-patterns, are not combined properly per Jakarta Servlet Spec. Resulting in later http-method-omission sets overriding… |
Do wiadomości | 6,9 | 0,4 % | ||
| Wazuh from 3.9.0 before 4.14.8 contains an uncontrolled YAML alias expansion vulnerability in yaml2json_node that allows a… | Wazuh from 3.9.0 before 4.14.8 contains an uncontrolled YAML alias expansion vulnerability in yaml2json_node that allows a manager-controlled policy to exhaust agent memory. Attackers controlling the manager can push a small SCA policy with nested aliases via merged.mg to OOM-kill wazuh-modulesd… |
Do wiadomości | 6,9 | 0,4 % | ||
| Brak wymuszenia widoczności po stronie serwera w Hi.Events pozwala na zakup ukrytych biletów przez nieautoryzowanych użytkowników. | Brak wymuszenia widoczności po stronie serwera w Hi.Events pozwala na zakup ukrytych biletów przez nieautoryzowanych użytkowników. |
Do wiadomości | 6,9 | 0,4 % | ||
| PocketMine-MP versions before 5.25.2 fail to limit the explode() function in packet parsing, allowing malicious clients to waste server… | PocketMine-MP versions before 5.25.2 fail to limit the explode() function in packet parsing, allowing malicious clients to waste server resources. Attackers can send crafted packets with excessive delimiters to consume CPU and memory through sign editing, JWT parsing, and command parsing endpoints. |
Do wiadomości | 6,9 | 0,4 % | ||
| A vulnerability was detected in Fdawgs node-poppler up to 9.1.2/10.0.1. | A vulnerability was detected in Fdawgs node-poppler up to 9.1.2/10.0.1. The impacted element is the function pdfInfo/pdfToText/pdfToCairo/pdfToPpm/pdfImages/pdfToHtml/pdfToPs/pdfFonts/pdfDetach/pdfAttach/pdfSeparate/pdfUnite of the file src/index.js of the component Argument Injection Handler.… |
Do wiadomości | 6,9 | 0,4 % | ||
| Brak ograniczeń w Mira cloud umożliwia atakującym uzyskanie dostępu do kont użytkowników. | Brak ograniczeń w Mira cloud umożliwia atakującym uzyskanie dostępu do kont użytkowników. |
Do wiadomości | 6,9 | 0,4 % | ||
| Błąd w rsync umożliwia atakującym obejście filtrów i dostęp do zastrzeżonych plików. | Błąd w rsync umożliwia atakującym obejście filtrów i dostęp do zastrzeżonych plików. |
Do wiadomości | 6,9 | 0,4 % | ||
| Błąd w ESP32 podczas reklamowania może prowadzić do fałszywego raportowania nawiązania połączenia. | Błąd w ESP32 podczas reklamowania może prowadzić do fałszywego raportowania nawiązania połączenia. |
Do wiadomości | 6,9 | 0,4 % | ||
| Brak limitu szybkości w metodzie sendForgotPasswordEmail w Rocket.Chat pozwala na masowe wysyłanie e-maili resetujących hasło. | Brak limitu szybkości w metodzie sendForgotPasswordEmail w Rocket.Chat pozwala na masowe wysyłanie e-maili resetujących hasło. |
Do wiadomości | 6,9 | 0,4 % | ||
| Sharp and Toshiba Tec MFPs (multifunction printers) fail to properly authorize requests to directly access certain image data stored to… | Sharp and Toshiba Tec MFPs (multifunction printers) fail to properly authorize requests to directly access certain image data stored to the affected product. |
Do wiadomości | 6,9 | 0,4 % | ||
| W AIL Framework występuje podatność na przechowywane XSS, co pozwala na wykonanie złośliwego kodu. | W AIL Framework występuje podatność na przechowywane XSS, co pozwala na wykonanie złośliwego kodu. |
Do wiadomości | 6,9 | 0,4 % | ||
| Podatność w AIL Project umożliwia zdalne wykonanie skryptu przez wstrzyknięcie JavaScript w wiadomościach. | Podatność w AIL Project umożliwia zdalne wykonanie skryptu przez wstrzyknięcie JavaScript w wiadomościach. |
Do wiadomości | 6,9 | 0,4 % | ||
| An unauthenticated remote attacker can inject malicious firmware into the internal charging module because the JupiCore service transmits… | An unauthenticated remote attacker can inject malicious firmware into the internal charging module because the JupiCore service transmits firmware updates without performing integrity or verification check. Successful exploitation may compromise the integrity of the affected device. This… |
Do wiadomości | 6,9 | 0,4 % | ||
| A weakness has been identified in nemoTyrant manong up to 7c9e5228e133b9267ad3a415833bc9bb53193bb4. | A weakness has been identified in nemoTyrant manong up to 7c9e5228e133b9267ad3a415833bc9bb53193bb4. This impacts the function cache/del_cache/arr2sql of the file func.php. This manipulation causes sql injection. The attack may be initiated remotely. This product uses a rolling release model to… |
Do wiadomości | 6,9 | 0,39 % | ||
| SiYuan versions before v3.8.0 contain an incomplete path blocklist in the MCP file tool that fails to restrict access to sensitive… | SiYuan versions before v3.8.0 contain an incomplete path blocklist in the MCP file tool that fails to restrict access to sensitive workspace files protected by the HTTP API. Authenticated administrators can read plaintext publish-mode passwords from data/.siyuan/publishAccess.json and access other… |
Do wiadomości | 6,9 | 0,39 % | ||
| A SQL injection vulnerability exists in Security Center that could allow an authenticated administrator to execute arbitrary SQL queries,… | A SQL injection vulnerability exists in Security Center that could allow an authenticated administrator to execute arbitrary SQL queries, potentially resulting in unauthorized access to sensitive data, including credentials. |
Do wiadomości | 6,9 | 0,39 % | ||
| Chaskiq through 2.0.3 contains a server-side request forgery vulnerability that allows unauthenticated attackers to make the server fetch… | Chaskiq through 2.0.3 contains a server-side request forgery vulnerability that allows unauthenticated attackers to make the server fetch arbitrary URLs via the url parameter of the /oembed endpoint. Attackers can target loopback, private, or cloud-metadata addresses through FetchLinkCardService,… |
Do wiadomości | 6,9 | 0,39 % | ||
| Engineercms through 2.0.5 contains a missing authorization vulnerability in AttachController.Attachment that allows unauthenticated… | Engineercms through 2.0.5 contains a missing authorization vulnerability in AttachController.Attachment that allows unauthenticated attackers to download project image and video attachments. Attackers can request known or derived /attachment/* paths for .jpg, .png, .bmp, or .mp4 files, which are… |
Do wiadomości | 6,9 | 0,39 % | ||
| Bitwarden Server before 2026.7.2 does not verify that the caller is a member of the organization identified in a POST /collect request… | Bitwarden Server before 2026.7.2 does not verify that the caller is a member of the organization identified in a POST /collect request body, allowing any authenticated user to write forged, arbitrarily backdated entries into any organization's audit log. |
Do wiadomości | 6,9 | 0,39 % | ||
| Błąd w algorytmie uwierzytelniania w DEEBOT PRO M1 i K1VAC pozwala na nieautoryzowane sterowanie robotem. | Błąd w algorytmie uwierzytelniania w DEEBOT PRO M1 i K1VAC pozwala na nieautoryzowane sterowanie robotem. |
Do wiadomości | 6,9 | 0,39 % | ||
| Wykorzystanie luki w iControl REST w trybie Appliance pozwala na usunięcie plików przez atakującego. | Wykorzystanie luki w iControl REST w trybie Appliance pozwala na usunięcie plików przez atakującego. |
Do wiadomości | 6,8 | 0,89 % | ||
| Przesyłanie tokena sesji i identyfikatora użytkownika w WebView Mira naraża na kradzież danych. | Przesyłanie tokena sesji i identyfikatora użytkownika w WebView Mira naraża na kradzież danych. |
Do wiadomości | 6,9 | 0,39 % | ||
| Brak uwierzytelnienia w PraisonAI umożliwia nieautoryzowany dostęp do narzędzi. | Brak uwierzytelnienia w PraisonAI umożliwia nieautoryzowany dostęp do narzędzi. |
Do wiadomości | 6,9 | 0,39 % | ||
| Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu. | Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu. |
Do wiadomości | 6,9 | 0,39 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.