KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
W Vibe-Trading występuje luka przechodzenia ścieżki, umożliwiająca atakującym zapis plików w niezamierzonych lokalizacjach.
Nieprawidłowa walidacja wejścia w OpenClaw umożliwia ujawnienie tokenów i poświadczeń botów.
W OpenStack Swift 2.38.0 podatność w S3API umożliwia nieautoryzowany dostęp do prywatnych obiektów.
The extension fails to validate a client-supplied template element key before using it to build file paths for saving and deleting Mask template files. An authenticated backend user with access to the Mask module can supply a key containing path traversal sequences to create or delete .html files…
Camunda 7.24.0 before 7.24.16 and 7.23.0 before 7.23.17 contains an authorization bypass vulnerability in the Cockpit webapp that allows authenticated attackers to bypass permission checks due to an inverted comparison logic in AbstractCockpitPluginResource.isPermissionDisabled(). Attackers with…
Adminer before 5.4.3 contains a cookie injection vulnerability that allows attackers to manipulate cookie attributes by injecting arbitrary values through the unsanitized X-Forwarded-Prefix HTTP header used in Set-Cookie path attributes. Attackers can exploit a misconfigured reverse proxy to…
Brak pełnej autoryzacji w Decidim pozwala menedżerowi uczestników na modyfikację rekordów spisów.
Obejście reguł blokady w JupyterLab pozwala użytkownikom na zmianę ustawień zablokowanych wtyczek.
Błąd w Craft CMS pozwala użytkownikom o niskich uprawnieniach na wstrzykiwanie treści do chronionych sekcji.
Błąd w planowaniu zapytań MongoDB Server może prowadzić do awarii serwera, co skutkuje odmową usługi.
Błąd walidacji geospatial w MongoDB Server może prowadzić do awarii serwera i odmowy usługi.
A denial of service vulnerability exists when Microsoft Common Object Runtime Library improperly handles web requests. An attacker who successfully exploited this vulnerability could cause a denial of service against a .NET web application. A remote unauthenticated attacker could exploit this…
pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF containing a content stream with many small operations, causing parsing to consume large amounts of memory. This issue is fixed in version 6.21.0.
pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF that causes large memory usage or long runtimes when an application retrieves the document's form fields. This issue is fixed in version 6.21.0.
pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF containing arrays or dictionaries with many elements, causing parsing to consume large amounts of memory. This issue is fixed in version 6.21.0.
Configurable Reports block for Moodle (moodle-block_configurablereports) before 5.3.1 contains an sql injection vulnerability in report_sql::prepare_sql() via the filter_var request parameter of viewreport.php. Low-privileged users permitted to view reports using the %%FILTER_VAR%% placeholder can…
A vulnerability exists in the the time zone parameter and does not properly validate user input, which may allow an authenticated user to cause /etc/localtime to point to a file outside the intended zoneinfo directory .
An integer underflow vulnerability has been identified in Aicloud. An authenticated attacker may trigger this vulnerability by sending a crafted request, potentially impacting the availability of the device. Refer to the ' Security Update for ASUS Router Firmware' section on the ASUS Security…
@casl/ability 6.7.5 before 7.0.2 contains a prototype pollution vulnerability in rulesToFields() that allows attackers to modify inherited builtins via dotted condition keys. Attackers controlling rule conditions can supply keys like 'toString.call' to alter shared builtin functions process-wide,…
W Grav przed 2.0.4 atakujący może wykorzystać regex_replace do odmowy usługi.
Parse Server before 8.6.108 and 9.0.0 before 9.10.5-alpha.9 contains a prototype pollution vulnerability because user-controlled keys are expanded into objects without own-property checks. Clients with class write access can send dot notation field keys or ACL entry names matching built-in object…
JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17-lts, JumpServer's Ansible-based automation rendering can evaluate attacker-controlled template expressions from users who have permission to create or execute affected automation…
Wstrzyknięcie SQL w LimeSurvey umożliwia nieautoryzowany dostęp do bazy danych uczestników.
Błąd w Vitest umożliwia atakującemu odczyt plików poza projektem oraz wykonanie dowolnych skryptów.
Wykorzystanie podatności w Hermes WebUI pozwala uwierzytelnionym atakującym na odczyt dowolnych plików.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| W Vibe-Trading występuje luka przechodzenia ścieżki, umożliwiająca atakującym zapis plików w niezamierzonych lokalizacjach. | W Vibe-Trading występuje luka przechodzenia ścieżki, umożliwiająca atakującym zapis plików w niezamierzonych lokalizacjach. |
Do wiadomości | 6,0 | 0,45 % | ||
| Nieprawidłowa walidacja wejścia w OpenClaw umożliwia ujawnienie tokenów i poświadczeń botów. | Nieprawidłowa walidacja wejścia w OpenClaw umożliwia ujawnienie tokenów i poświadczeń botów. |
Do wiadomości | 6,0 | 0,44 % | ||
| W OpenStack Swift 2.38.0 podatność w S3API umożliwia nieautoryzowany dostęp do prywatnych obiektów. | W OpenStack Swift 2.38.0 podatność w S3API umożliwia nieautoryzowany dostęp do prywatnych obiektów. |
Do wiadomości | 6,0 | 0,44 % | ||
| The extension fails to validate a client-supplied template element key before using it to build file paths for saving and deleting Mask… | The extension fails to validate a client-supplied template element key before using it to build file paths for saving and deleting Mask template files. An authenticated backend user with access to the Mask module can supply a key containing path traversal sequences to create or delete .html files… |
Do wiadomości | 6,0 | 0,44 % | ||
| Camunda 7.24.0 before 7.24.16 and 7.23.0 before 7.23.17 contains an authorization bypass vulnerability in the Cockpit webapp that allows… | Camunda 7.24.0 before 7.24.16 and 7.23.0 before 7.23.17 contains an authorization bypass vulnerability in the Cockpit webapp that allows authenticated attackers to bypass permission checks due to an inverted comparison logic in AbstractCockpitPluginResource.isPermissionDisabled(). Attackers with… |
Do wiadomości | 6,0 | 0,43 % | ||
| Adminer before 5.4.3 contains a cookie injection vulnerability that allows attackers to manipulate cookie attributes by injecting… | Adminer before 5.4.3 contains a cookie injection vulnerability that allows attackers to manipulate cookie attributes by injecting arbitrary values through the unsanitized X-Forwarded-Prefix HTTP header used in Set-Cookie path attributes. Attackers can exploit a misconfigured reverse proxy to… |
Do wiadomości | 6,0 | 0,43 % | ||
| Brak pełnej autoryzacji w Decidim pozwala menedżerowi uczestników na modyfikację rekordów spisów. | Brak pełnej autoryzacji w Decidim pozwala menedżerowi uczestników na modyfikację rekordów spisów. |
Do wiadomości | 6,0 | 0,43 % | ||
| Obejście reguł blokady w JupyterLab pozwala użytkownikom na zmianę ustawień zablokowanych wtyczek. | Obejście reguł blokady w JupyterLab pozwala użytkownikom na zmianę ustawień zablokowanych wtyczek. |
Do wiadomości | 6,0 | 0,42 % | ||
| Błąd w Craft CMS pozwala użytkownikom o niskich uprawnieniach na wstrzykiwanie treści do chronionych sekcji. | Błąd w Craft CMS pozwala użytkownikom o niskich uprawnieniach na wstrzykiwanie treści do chronionych sekcji. |
Do wiadomości | 6,0 | 0,4 % | ||
| Błąd w planowaniu zapytań MongoDB Server może prowadzić do awarii serwera, co skutkuje odmową usługi. | Błąd w planowaniu zapytań MongoDB Server może prowadzić do awarii serwera, co skutkuje odmową usługi. |
Do wiadomości | 6,0 | 0,4 % | ||
| Błąd walidacji geospatial w MongoDB Server może prowadzić do awarii serwera i odmowy usługi. | Błąd walidacji geospatial w MongoDB Server może prowadzić do awarii serwera i odmowy usługi. |
Do wiadomości | 6,0 | 0,4 % | ||
| A denial of service vulnerability exists when Microsoft Common Object Runtime Library improperly handles web requests. | A denial of service vulnerability exists when Microsoft Common Object Runtime Library improperly handles web requests. An attacker who successfully exploited this vulnerability could cause a denial of service against a .NET web application. A remote unauthenticated attacker could exploit this… |
Do wiadomości | 5,9 | 0,9 % | ||
| pypdf is a free and open-source pure-python PDF library. | pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF containing a content stream with many small operations, causing parsing to consume large amounts of memory. This issue is fixed in version 6.21.0. |
Do wiadomości | 6,0 | 0,39 % | ||
| pypdf is a free and open-source pure-python PDF library. | pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF that causes large memory usage or long runtimes when an application retrieves the document's form fields. This issue is fixed in version 6.21.0. |
Do wiadomości | 6,0 | 0,39 % | ||
| pypdf is a free and open-source pure-python PDF library. | pypdf is a free and open-source pure-python PDF library. Prior to 6.21.0, an attacker can craft a PDF containing arrays or dictionaries with many elements, causing parsing to consume large amounts of memory. This issue is fixed in version 6.21.0. |
Do wiadomości | 6,0 | 0,39 % | ||
| Configurable Reports block for Moodle (moodle-block_configurablereports) before 5.3.1 contains an sql injection vulnerability in… | Configurable Reports block for Moodle (moodle-block_configurablereports) before 5.3.1 contains an sql injection vulnerability in report_sql::prepare_sql() via the filter_var request parameter of viewreport.php. Low-privileged users permitted to view reports using the %%FILTER_VAR%% placeholder can… |
Do wiadomości | 6,0 | 0,39 % | ||
| A vulnerability exists in the the time zone parameter and does not properly validate user input, which may allow an authenticated user to… | A vulnerability exists in the the time zone parameter and does not properly validate user input, which may allow an authenticated user to cause /etc/localtime to point to a file outside the intended zoneinfo directory . |
Do wiadomości | 6,0 | 0,39 % | ||
| An integer underflow vulnerability has been identified in Aicloud. | An integer underflow vulnerability has been identified in Aicloud. An authenticated attacker may trigger this vulnerability by sending a crafted request, potentially impacting the availability of the device. Refer to the ' Security Update for ASUS Router Firmware' section on the ASUS Security… |
Do wiadomości | 6,0 | 0,39 % | ||
| @casl/ability 6.7.5 before 7.0.2 contains a prototype pollution vulnerability in rulesToFields() that allows attackers to modify inherited… | @casl/ability 6.7.5 before 7.0.2 contains a prototype pollution vulnerability in rulesToFields() that allows attackers to modify inherited builtins via dotted condition keys. Attackers controlling rule conditions can supply keys like 'toString.call' to alter shared builtin functions process-wide,… |
Do wiadomości | 6,0 | 0,38 % | ||
| W Grav przed 2.0.4 atakujący może wykorzystać regex_replace do odmowy usługi. | W Grav przed 2.0.4 atakujący może wykorzystać regex_replace do odmowy usługi. |
Do wiadomości | 6,0 | 0,38 % | ||
| Parse Server before 8.6.108 and 9.0.0 before 9.10.5-alpha.9 contains a prototype pollution vulnerability because user-controlled keys are… | Parse Server before 8.6.108 and 9.0.0 before 9.10.5-alpha.9 contains a prototype pollution vulnerability because user-controlled keys are expanded into objects without own-property checks. Clients with class write access can send dot notation field keys or ACL entry names matching built-in object… |
Do wiadomości | 6,0 | 0,38 % | ||
| JumpServer is an open source bastion host and an operation and maintenance security audit system. | JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17-lts, JumpServer's Ansible-based automation rendering can evaluate attacker-controlled template expressions from users who have permission to create or execute affected automation… |
Do wiadomości | 6,0 | 0,38 % | ||
| Wstrzyknięcie SQL w LimeSurvey umożliwia nieautoryzowany dostęp do bazy danych uczestników. | Wstrzyknięcie SQL w LimeSurvey umożliwia nieautoryzowany dostęp do bazy danych uczestników. |
Do wiadomości | 6,0 | 0,38 % | ||
| Błąd w Vitest umożliwia atakującemu odczyt plików poza projektem oraz wykonanie dowolnych skryptów. | Błąd w Vitest umożliwia atakującemu odczyt plików poza projektem oraz wykonanie dowolnych skryptów. |
Do wiadomości | 5,9 | 0,88 % | ||
| Wykorzystanie podatności w Hermes WebUI pozwala uwierzytelnionym atakującym na odczyt dowolnych plików. | Wykorzystanie podatności w Hermes WebUI pozwala uwierzytelnionym atakującym na odczyt dowolnych plików. |
Do wiadomości | 6,0 | 0,38 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.