KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Brak walidacji nonce w wtyczce BEAR dla WooCommerce umożliwia atak Cross-Site Request Forgery.
Brak autoryzacji w Total Poll Lite umożliwia nieautoryzowany dostęp do danych.
Brak autoryzacji w SureCart umożliwia nieautoryzowany dostęp do danych.
Podatność w Flare umożliwia uwierzytelnionym użytkownikom odczyt dowolnych plików z kontenera aplikacji, co może prowadzić do wycieku danych.
Obejście zabezpieczeń w komponencie Anti-Tracking w Firefox umożliwia śledzenie użytkowników.
Wstrzyknięcie SQL w SIGB PMB umożliwia nieautoryzowany dostęp do danych.
Wstrzyknięcie poleceń w Comfast CF-WR631AX umożliwia zdalne wykonanie kodu.
Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu.
Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu.
A flaw in Portal for ArcGIS allows unauthenticated users to create new accounts through the sharing endpoint even when self-service account registration is disabled (disableSignup=true). An attacker can bypass the intended restriction by manipulating the signup workflow, resulting in unauthorized…
Improper access control in Extensions in Google Chrome prior to 156.0.8078.47 allowed a remote attacker to potentially leak sensitive information via a crafted HTML page. (Chromium security severity: Medium)
The WP Comment Cleaner WordPress plugin before 7.2 does not perform a capability check or validate a nonce on one of its bulk comment-deletion routines, allowing authenticated users with minimal permissions, such as subscribers, to permanently delete all comments on the site.
The ThirstyAffiliates WordPress plugin before 3.12.1 does not check the status or type of the object requested by its link redirect tracking handler, allowing unauthenticated attackers to disclose the destination URLs of unpublished affiliate links and to record fabricated click statistics.
The Subscribe to Comments WordPress plugin before 2.3.3 does not sign or validate a cookie it trusts to identify a commenter, allowing unauthenticated attackers to disclose a subscriber's management key and silently alter that subscriber's subscriptions.
The Geliver Akıllı Kargo Pazaryeri WordPress plugin before 3.1.1 does not prevent unauthenticated access to a log file it stores within its own web-accessible directory, into which it writes the site's carrier integration key while processing requests from unauthenticated users, allowing attackers…
Błąd w JSS umożliwia atakującemu przeprowadzenie ataku typu man-in-the-middle przez fałszowanie certyfikatów.
Awaria w silniku analizy Wireshark prowadzi do odmowy usługi.
Błąd w undici umożliwia zwrócenie niezgodnej długości ciała odpowiedzi, co prowadzi do korupcji danych.
Błąd w @hapi/wreck pozwala na przechwytywanie danych uwierzytelniających podczas przekierowań.
Brak unieważnienia sesji po resecie hasła w IBM Aspera Shares umożliwia podszywanie się pod innego użytkownika.
The Fancy Product Designer plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 6.4.8. This is due to a time-of-check/time-of-use (TOCTOU) race condition in the 'url' parameter of the fpd_custom_uplod_file AJAX action. The plugin validates the URL…
Windu CMS is vulnerable to Cross-Site Request Forgery in user editing functionality. Implemented CSRF protection mechanism can be bypassed by using CSRF token of other user. It is worth noting that the registration is open and anyone can create an account. Only version 4.1 was tested and…
PraisonAI is a multi-agent teams system. In `praisonai-platform` prior to version 0.1.9, issue dependency deletion can be authorized against the wrong side of a dependency edge. A workspace member cannot delete a dependency through the owner-created issue endpoint, but can delete the same…
Dell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Initialization of a Resource with an Insecure Default vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Elevation of privileges,…
The Modern Events Calendar Lite WordPress plugin before 7.36.4 does not verify that a user is authorized to edit the target post before updating it, allowing authenticated users with the Subscriber role to modify the title, content, and excerpt of arbitrary posts, pages, and custom post types…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Brak walidacji nonce w wtyczce BEAR dla WooCommerce umożliwia atak Cross-Site Request Forgery. | Brak walidacji nonce w wtyczce BEAR dla WooCommerce umożliwia atak Cross-Site Request Forgery. |
Do wiadomości | 6,5 | 0,18 % | ||
| Brak autoryzacji w Total Poll Lite umożliwia nieautoryzowany dostęp do danych. | Brak autoryzacji w Total Poll Lite umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,5 | 0,18 % | ||
| Brak autoryzacji w SureCart umożliwia nieautoryzowany dostęp do danych. | Brak autoryzacji w SureCart umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,5 | 0,18 % | ||
| Podatność w Flare umożliwia uwierzytelnionym użytkownikom odczyt dowolnych plików z kontenera aplikacji, co może prowadzić do wycieku… | Podatność w Flare umożliwia uwierzytelnionym użytkownikom odczyt dowolnych plików z kontenera aplikacji, co może prowadzić do wycieku danych. |
Do wiadomości | 6,5 | 0,18 % | ||
| Obejście zabezpieczeń w komponencie Anti-Tracking w Firefox umożliwia śledzenie użytkowników. | Obejście zabezpieczeń w komponencie Anti-Tracking w Firefox umożliwia śledzenie użytkowników. |
Do wiadomości | 6,5 | 0,18 % | ||
| Wstrzyknięcie SQL w SIGB PMB umożliwia nieautoryzowany dostęp do danych. | Wstrzyknięcie SQL w SIGB PMB umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,5 | 0,18 % | ||
| Wstrzyknięcie poleceń w Comfast CF-WR631AX umożliwia zdalne wykonanie kodu. | Wstrzyknięcie poleceń w Comfast CF-WR631AX umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,3 | 1,18 % | ||
| Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu. | Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,3 | 1,18 % | ||
| Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu. | Wstrzyknięcie poleceń w Edimax BR-6478AC V2 umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,3 | 1,18 % | ||
| A flaw in Portal for ArcGIS allows unauthenticated users to create new accounts through the sharing endpoint even when self-service… | A flaw in Portal for ArcGIS allows unauthenticated users to create new accounts through the sharing endpoint even when self-service account registration is disabled (disableSignup=true). An attacker can bypass the intended restriction by manipulating the signup workflow, resulting in unauthorized… |
Do wiadomości | 6,5 | 0,18 % | ||
| Improper access control in Extensions in Google Chrome prior to 156.0.8078.47 allowed a remote attacker to potentially leak sensitive… | Improper access control in Extensions in Google Chrome prior to 156.0.8078.47 allowed a remote attacker to potentially leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) |
Do wiadomości | 6,5 | 0,18 % | ||
| The WP Comment Cleaner WordPress plugin before 7.2 does not perform a capability check or validate a nonce on one of its bulk… | The WP Comment Cleaner WordPress plugin before 7.2 does not perform a capability check or validate a nonce on one of its bulk comment-deletion routines, allowing authenticated users with minimal permissions, such as subscribers, to permanently delete all comments on the site. |
Do wiadomości | 6,5 | 0,18 % | ||
| The ThirstyAffiliates WordPress plugin before 3.12.1 does not check the status or type of the object requested by its link redirect… | The ThirstyAffiliates WordPress plugin before 3.12.1 does not check the status or type of the object requested by its link redirect tracking handler, allowing unauthenticated attackers to disclose the destination URLs of unpublished affiliate links and to record fabricated click statistics. |
Do wiadomości | 6,5 | 0,18 % | ||
| The Subscribe to Comments WordPress plugin before 2.3.3 does not sign or validate a cookie it trusts to identify a commenter, allowing… | The Subscribe to Comments WordPress plugin before 2.3.3 does not sign or validate a cookie it trusts to identify a commenter, allowing unauthenticated attackers to disclose a subscriber's management key and silently alter that subscriber's subscriptions. |
Do wiadomości | 6,5 | 0,18 % | ||
| The Geliver Akıllı Kargo Pazaryeri WordPress plugin before 3.1.1 does not prevent unauthenticated access to a log file it stores within… | The Geliver Akıllı Kargo Pazaryeri WordPress plugin before 3.1.1 does not prevent unauthenticated access to a log file it stores within its own web-accessible directory, into which it writes the site's carrier integration key while processing requests from unauthenticated users, allowing attackers… |
Do wiadomości | 6,5 | 0,18 % | ||
| Błąd w JSS umożliwia atakującemu przeprowadzenie ataku typu man-in-the-middle przez fałszowanie certyfikatów. | Błąd w JSS umożliwia atakującemu przeprowadzenie ataku typu man-in-the-middle przez fałszowanie certyfikatów. |
Do wiadomości | 6,5 | 0,18 % | ||
| Awaria w silniku analizy Wireshark prowadzi do odmowy usługi. | Awaria w silniku analizy Wireshark prowadzi do odmowy usługi. |
Do wiadomości | 6,5 | 0,18 % | ||
| Błąd w undici umożliwia zwrócenie niezgodnej długości ciała odpowiedzi, co prowadzi do korupcji danych. | Błąd w undici umożliwia zwrócenie niezgodnej długości ciała odpowiedzi, co prowadzi do korupcji danych. |
Do wiadomości | 6,5 | 0,18 % | ||
| Błąd w @hapi/wreck pozwala na przechwytywanie danych uwierzytelniających podczas przekierowań. | Błąd w @hapi/wreck pozwala na przechwytywanie danych uwierzytelniających podczas przekierowań. |
Do wiadomości | 6,5 | 0,18 % | ||
| Brak unieważnienia sesji po resecie hasła w IBM Aspera Shares umożliwia podszywanie się pod innego użytkownika. | Brak unieważnienia sesji po resecie hasła w IBM Aspera Shares umożliwia podszywanie się pod innego użytkownika. |
Do wiadomości | 6,5 | 0,18 % | ||
| The Fancy Product Designer plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 6.4.8. | The Fancy Product Designer plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 6.4.8. This is due to a time-of-check/time-of-use (TOCTOU) race condition in the 'url' parameter of the fpd_custom_uplod_file AJAX action. The plugin validates the URL… |
Do wiadomości | 6,5 | 0,18 % | ||
| Windu CMS is vulnerable to Cross-Site Request Forgery in user editing functionality. | Windu CMS is vulnerable to Cross-Site Request Forgery in user editing functionality. Implemented CSRF protection mechanism can be bypassed by using CSRF token of other user. It is worth noting that the registration is open and anyone can create an account. Only version 4.1 was tested and… |
Do wiadomości | 6,5 | 0,18 % | ||
| PraisonAI is a multi-agent teams system. | PraisonAI is a multi-agent teams system. In `praisonai-platform` prior to version 0.1.9, issue dependency deletion can be authorized against the wrong side of a dependency edge. A workspace member cannot delete a dependency through the owner-created issue endpoint, but can delete the same… |
Do wiadomości | 6,5 | 0,18 % | ||
| Dell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Initialization of a Resource with an Insecure… | Dell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Initialization of a Resource with an Insecure Default vulnerability. A high privileged attacker with remote access could potentially exploit this vulnerability, leading to Elevation of privileges,… |
Do wiadomości | 6,5 | 0,18 % | ||
| The Modern Events Calendar Lite WordPress plugin before 7.36.4 does not verify that a user is authorized to edit the target post before… | The Modern Events Calendar Lite WordPress plugin before 7.36.4 does not verify that a user is authorized to edit the target post before updating it, allowing authenticated users with the Subscriber role to modify the title, content, and excerpt of arbitrary posts, pages, and custom post types… |
Do wiadomości | 6,5 | 0,17 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.