KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.1, LogEntryExtraFormatter builds the HTML shown in the "Extra" column of the activity-log table (/log) and in element history tables. Every branch of LogEntryExtraFormatter::getInternalFormat()…
Brak weryfikacji uprawnień w Kirby umożliwia dostęp do szkiców stron przez nieuprawnionych użytkowników.
Luka w phpMyFAQ umożliwia pobranie wrażliwych plików przez nieautoryzowanych użytkowników.
Przekazywanie nagłówków autoryzacji w OpenClaw umożliwia nieautoryzowane działania.
Wyciek tokenów w OpenClaw umożliwia atakującym dostęp do poufnych danych MS Teams.
ProjectSend 2.0.0 before 2.7.0 contains a path validation flaw in OrphanFileScanner::isOrphan() that allows staff with import_orphans permission to treat tracked files as orphans. Attackers can submit ./ path aliases to the orphans import or delete endpoints, deleting or adopting other owners'…
temporal-proxy 0.2.0 through 0.8.0 does not bind encrypted payloads to the namespace they were encrypted for. When payload encryption is enabled, the proxy chooses the decryption key by an identifier stored in the payload rather than by the namespace of the request, and nothing in the ciphertext…
Brak autoryzacji w OpenClaw pozwala na nieuprawnione działania w funkcji MS Teams.
Brak autoryzacji w OpenClaw pozwala na nieautoryzowane działania moderacyjne w Discordzie.
Improper handling of highly compressed data (data amplification) in ASP.NET Core allows an unauthorized attacker to deny service over a network.
Pętla z nieosiągalnym warunkiem wyjścia w AD FS pozwala na odmowę usługi przez atakującego.
The extension fails to restrict which frontend usergroups a logged-in user may assign to their own account when the profile edit plugin uses its default field configuration, allowing self-service privilege escalation into arbitrary frontend groups.
The extension fails to restrict a backend AJAX endpoint for inline editing to fields the current user is permitted to see or edit. An authenticated, low-privileged backend user can supply arbitrary table, field and record parameters, and trigger an error response that discloses the current…
LiquidJS is a Shopify / GitHub Pages compatible template engine in pure JavaScript. Prior to 10.27.2, enabling ownPropertyOnly does not consistently restrict inherited array indices because negative indexing, .first, .last, the first filter, the last filter, join, reverse, slice, compact, and…
Luka w Keycloak umożliwia atakującemu usuwanie lub aktualizowanie zasobów innych klientów.
OPNsense core through 26.7.8 contains a configuration injection vulnerability that allows authenticated users to append ntpd.conf directives by embedding newlines in the fudge and refid fields. Attackers holding the page-services-ntp-gps or PPS privilege can submit CR/LF characters via…
Błąd w Activepieces pozwala na zapis plików w dowolnej lokalizacji na serwerze, co może prowadzić do zdalnego wykonania kodu.
Niekontrolowana rekurencja w libxml2 prowadzi do awarii aplikacji i DoS.
Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the caller's runtime environment. An attacker holding any tenant's API key who knows a victim's run friendlyId can replay that run into their own environment and read…
REBUILD through 4.5.0 contains an authorization bypass vulnerability in AiBot2Controller /aibot2 endpoints that act on a caller-supplied chatid without verifying ownership. Authenticated low-privilege users can supply another user's chatid to chat-init, chat-delete, chat-feedback, or…
GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to version 1.1.36 of the GraphQL Tools legacy WebSocket executor package, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts reuses one WebSocket and replaces its single websocket.onmessage…
Luka w Craft CMS pozwala na wyciek danych z pliku .env i przejęcie konta administratora.
Wysłanie specjalnie przygotowanych danych do HX 10.0.0 powoduje Denial of Service.
Odczyt poza granicami w Windows DHCP Server umożliwia ujawnienie informacji przez sieć.
Błąd odczytu poza zakresem w serwerze DHCP Windows umożliwia ujawnienie informacji w sieci.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Part-DB is an open source inventory management system for electronic components. | Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.1, LogEntryExtraFormatter builds the HTML shown in the "Extra" column of the activity-log table (/log) and in element history tables. Every branch of LogEntryExtraFormatter::getInternalFormat()… |
Do wiadomości | 6,0 | 0,37 % | ||
| Brak weryfikacji uprawnień w Kirby umożliwia dostęp do szkiców stron przez nieuprawnionych użytkowników. | Brak weryfikacji uprawnień w Kirby umożliwia dostęp do szkiców stron przez nieuprawnionych użytkowników. |
Do wiadomości | 6,0 | 0,36 % | ||
| Luka w phpMyFAQ umożliwia pobranie wrażliwych plików przez nieautoryzowanych użytkowników. | Luka w phpMyFAQ umożliwia pobranie wrażliwych plików przez nieautoryzowanych użytkowników. |
Do wiadomości | 6,0 | 0,36 % | ||
| Przekazywanie nagłówków autoryzacji w OpenClaw umożliwia nieautoryzowane działania. | Przekazywanie nagłówków autoryzacji w OpenClaw umożliwia nieautoryzowane działania. |
Do wiadomości | 6,0 | 0,36 % | ||
| Wyciek tokenów w OpenClaw umożliwia atakującym dostęp do poufnych danych MS Teams. | Wyciek tokenów w OpenClaw umożliwia atakującym dostęp do poufnych danych MS Teams. |
Do wiadomości | 6,0 | 0,36 % | ||
| ProjectSend 2.0.0 before 2.7.0 contains a path validation flaw in OrphanFileScanner::isOrphan() that allows staff with import_orphans… | ProjectSend 2.0.0 before 2.7.0 contains a path validation flaw in OrphanFileScanner::isOrphan() that allows staff with import_orphans permission to treat tracked files as orphans. Attackers can submit ./ path aliases to the orphans import or delete endpoints, deleting or adopting other owners'… |
Do wiadomości | 6,0 | 0,36 % | ||
| temporal-proxy 0.2.0 through 0.8.0 does not bind encrypted payloads to the namespace they were encrypted for. | temporal-proxy 0.2.0 through 0.8.0 does not bind encrypted payloads to the namespace they were encrypted for. When payload encryption is enabled, the proxy chooses the decryption key by an identifier stored in the payload rather than by the namespace of the request, and nothing in the ciphertext… |
Do wiadomości | 6,0 | 0,36 % | ||
| Brak autoryzacji w OpenClaw pozwala na nieuprawnione działania w funkcji MS Teams. | Brak autoryzacji w OpenClaw pozwala na nieuprawnione działania w funkcji MS Teams. |
Do wiadomości | 6,0 | 0,36 % | ||
| Brak autoryzacji w OpenClaw pozwala na nieautoryzowane działania moderacyjne w Discordzie. | Brak autoryzacji w OpenClaw pozwala na nieautoryzowane działania moderacyjne w Discordzie. |
Do wiadomości | 6,0 | 0,36 % | ||
| Improper handling of highly compressed data (data amplification) in ASP.NET Core allows an unauthorized attacker to deny service over a… | Improper handling of highly compressed data (data amplification) in ASP.NET Core allows an unauthorized attacker to deny service over a network. |
Do wiadomości | 5,9 | 0,86 % | ||
| Pętla z nieosiągalnym warunkiem wyjścia w AD FS pozwala na odmowę usługi przez atakującego. | Pętla z nieosiągalnym warunkiem wyjścia w AD FS pozwala na odmowę usługi przez atakującego. |
Do wiadomości | 5,9 | 0,86 % | ||
| The extension fails to restrict which frontend usergroups a logged-in user may assign to their own account when the profile edit plugin… | The extension fails to restrict which frontend usergroups a logged-in user may assign to their own account when the profile edit plugin uses its default field configuration, allowing self-service privilege escalation into arbitrary frontend groups. |
Do wiadomości | 6,0 | 0,35 % | ||
| The extension fails to restrict a backend AJAX endpoint for inline editing to fields the current user is permitted to see or edit. | The extension fails to restrict a backend AJAX endpoint for inline editing to fields the current user is permitted to see or edit. An authenticated, low-privileged backend user can supply arbitrary table, field and record parameters, and trigger an error response that discloses the current… |
Do wiadomości | 6,0 | 0,35 % | ||
| LiquidJS is a Shopify / GitHub Pages compatible template engine in pure JavaScript. | LiquidJS is a Shopify / GitHub Pages compatible template engine in pure JavaScript. Prior to 10.27.2, enabling ownPropertyOnly does not consistently restrict inherited array indices because negative indexing, .first, .last, the first filter, the last filter, join, reverse, slice, compact, and… |
Do wiadomości | 6,0 | 0,35 % | ||
| Luka w Keycloak umożliwia atakującemu usuwanie lub aktualizowanie zasobów innych klientów. | Luka w Keycloak umożliwia atakującemu usuwanie lub aktualizowanie zasobów innych klientów. |
Do wiadomości | 6,0 | 0,35 % | ||
| OPNsense core through 26.7.8 contains a configuration injection vulnerability that allows authenticated users to append ntpd.conf… | OPNsense core through 26.7.8 contains a configuration injection vulnerability that allows authenticated users to append ntpd.conf directives by embedding newlines in the fudge and refid fields. Attackers holding the page-services-ntp-gps or PPS privilege can submit CR/LF characters via… |
Do wiadomości | 6,0 | 0,34 % | ||
| Błąd w Activepieces pozwala na zapis plików w dowolnej lokalizacji na serwerze, co może prowadzić do zdalnego wykonania kodu. | Błąd w Activepieces pozwala na zapis plików w dowolnej lokalizacji na serwerze, co może prowadzić do zdalnego wykonania kodu. |
Do wiadomości | 5,9 | 0,84 % | ||
| Niekontrolowana rekurencja w libxml2 prowadzi do awarii aplikacji i DoS. | Niekontrolowana rekurencja w libxml2 prowadzi do awarii aplikacji i DoS. |
Do wiadomości | 5,9 | 0,84 % | ||
| Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the… | Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the caller's runtime environment. An attacker holding any tenant's API key who knows a victim's run friendlyId can replay that run into their own environment and read… |
Do wiadomości | 6,0 | 0,34 % | ||
| REBUILD through 4.5.0 contains an authorization bypass vulnerability in AiBot2Controller /aibot2 endpoints that act on a caller-supplied… | REBUILD through 4.5.0 contains an authorization bypass vulnerability in AiBot2Controller /aibot2 endpoints that act on a caller-supplied chatid without verifying ownership. Authenticated low-privilege users can supply another user's chatid to chat-init, chat-delete, chat-feedback, or… |
Do wiadomości | 6,0 | 0,34 % | ||
| GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. | GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to version 1.1.36 of the GraphQL Tools legacy WebSocket executor package, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts reuses one WebSocket and replaces its single websocket.onmessage… |
Do wiadomości | 6,0 | 0,34 % | ||
| Luka w Craft CMS pozwala na wyciek danych z pliku .env i przejęcie konta administratora. | Luka w Craft CMS pozwala na wyciek danych z pliku .env i przejęcie konta administratora. |
Do wiadomości | 6,0 | 0,33 % | ||
| Wysłanie specjalnie przygotowanych danych do HX 10.0.0 powoduje Denial of Service. | Wysłanie specjalnie przygotowanych danych do HX 10.0.0 powoduje Denial of Service. |
Do wiadomości | 6,0 | 0,33 % | ||
| Odczyt poza granicami w Windows DHCP Server umożliwia ujawnienie informacji przez sieć. | Odczyt poza granicami w Windows DHCP Server umożliwia ujawnienie informacji przez sieć. |
Do wiadomości | 5,9 | 0,83 % | ||
| Błąd odczytu poza zakresem w serwerze DHCP Windows umożliwia ujawnienie informacji w sieci. | Błąd odczytu poza zakresem w serwerze DHCP Windows umożliwia ujawnienie informacji w sieci. |
Do wiadomości | 5,9 | 0,83 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.