KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Obejście uwierzytelnienia w OpenClaw umożliwia wykonanie działań bez odpowiednich uprawnień.
Luka w Casdoor umożliwia atak Path Traversal, co pozwala na zapis dowolnych plików w systemie.
W Beets przed wersją 2.10.0 wstrzyknięcie kodu HTML w interfejsie webowym umożliwia atak na DOM.
Błąd w Electron umożliwia zdalne wykonanie kodu przez niewłaściwe zarządzanie oknami.
LangGraph checkpoint savers provide Postgres- and SQLite-backed state persistence for LangGraph workflows and agents. Prior to langgraph-checkpoint-postgres 3.1.3 and langgraph-checkpoint-sqlite 3.1.2, PostgresStore, AsyncPostgresStore, SqliteStore, and AsyncSqliteStore flatten namespace labels…
W BlenderMCP występuje luka w przechodzeniu ścieżek, umożliwiająca zapis dowolnych plików.
W ChurchCRM przed wersją 6.5.3 występuje podatność SSRF umożliwiająca atakującym wywołanie żądań do dowolnych hostów.
Wyścig warunków w New API pozwala na sztuczne zwiększenie limitu użytkownika.
EspoCRM is an open source customer relationship management application. Prior to 10.0.2, an authenticated user with mass-update permission can supply a known attachment identifier to the mass-update functionality. The mass-update processor duplicates the attachment without checking whether the…
Plausible Analytics Community Edition through 3.2.1 contains an information exposure vulnerability that allows site editors to obtain pending invitation and ownership-transfer IDs from the settings/people page. Attackers can register with the invitee's email using the exposed ID and accept it,…
Parse Server before 8.6.103 and 9.0.0 before 9.10.5-alpha.4 contains an information disclosure vulnerability in LiveQuery. Its subscription hash omits constraints next to a $or operator, including the _Session owner filter and beforeSubscribe constraints, so distinct subscriptions are grouped…
FreeRDP before 3.32.0 stores the server-supplied signed MS-RDPEGT geometry origin unchecked in an unsigned video surface coordinate, so the blit clamp in gdiVideoShowSurface() wraps in 32-bit arithmetic and is skipped. A malicious RDP server can send a negative topLevelLeft to clients connecting…
Insertion of sensitive information into sent data in .NET allows an unauthorized attacker to disclose information over a network.
FreeRDP from 3.9.0 before 3.32.0 contains a NULL pointer dereference vulnerability in the RDPEAR NDR reader that allows malicious servers to crash clients via truncated KERB_RPC_INTERNAL_NAME data. Attackers can send a CreateApReqAuthenticatorReq with NameCount of two or more ending before the…
FreeRDP from 3.9.0 before 3.32.0 contains an out-of-bounds read vulnerability in the RDPEAR NDR scalar readers, which check value length before consuming alignment padding. Malicious or compromised RDP servers can send crafted unaligned RDPEAR payloads, such as CreateApReqAuthenticatorReq…
W rclone przed wersją 1.75.0 występuje podatność na odmowę usługi, która może zatrzymać procesy.
A vulnerability has been found in Divyanshu-hash GitPilot-MCP up to 9ed9f153ba4158a2ad230ee4871b25130da29ffd. This impacts the function repo_path of the file main.py. Such manipulation of the argument command leads to command injection. The attack can be launched remotely. The exploit has been…
Wstrzyknięcie SQL w Corteza umożliwia nieautoryzowany dostęp do danych.
Błąd w better-auth umożliwia atakującym fałszowanie parametrów OAuth i przejmowanie sesji.
Błąd w Search Guard FLX umożliwia dostęp do wszystkich dokumentów z indeksów w sygnale.
OpenClaw's Discord integration (npm package @openclaw/discord) before version 2026.9.3 could lose the sender-scoped media policy in the emoji and sticker upload actions before loading a local file. A sender permitted to invoke those actions could cause OpenClaw to read a host path that the same…
Erupt through 2.3.0 contains an HQL injection vulnerability that allows authenticated users to bypass tree-scoped data filters by injecting unescaped quotes into the linkTreeVal parameter of POST /erupt-api/data/table/{erupt}. Attackers holding query permission on entities with String-keyed…
The GiveWP WordPress plugin before 4.19.0.1 does not properly validate a user-supplied filename before reading it from disk, allowing users with a high-privilege custom role to perform path traversal, disclose the contents of JSON-parseable files anywhere on the server, and overwrite the GiveWP…
The Looker endpoint for generating new projects from database connections allows users to specify "looker" as a connection name, which is a reserved internal name for Looker's internal MySQL database. The schemas parameter is vulnerable to SQL injection, enabling attackers to manipulate SELECT…
FreeRDP 3.0.0 before 3.32.0 contains an insufficiently protected credentials vulnerability where the /restricted-admin option fails to suppress CredSSP credential delegation, sending the cleartext password to the RDP server. A compromised or man-in-the-middle destination host can decode…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Obejście uwierzytelnienia w OpenClaw umożliwia wykonanie działań bez odpowiednich uprawnień. | Obejście uwierzytelnienia w OpenClaw umożliwia wykonanie działań bez odpowiednich uprawnień. |
Do wiadomości | 6,0 | 0,3 % | ||
| Luka w Casdoor umożliwia atak Path Traversal, co pozwala na zapis dowolnych plików w systemie. | Luka w Casdoor umożliwia atak Path Traversal, co pozwala na zapis dowolnych plików w systemie. |
Do wiadomości | 5,9 | 0,8 % | ||
| W Beets przed wersją 2.10.0 wstrzyknięcie kodu HTML w interfejsie webowym umożliwia atak na DOM. | W Beets przed wersją 2.10.0 wstrzyknięcie kodu HTML w interfejsie webowym umożliwia atak na DOM. |
Do wiadomości | 6,0 | 0,3 % | ||
| Błąd w Electron umożliwia zdalne wykonanie kodu przez niewłaściwe zarządzanie oknami. | Błąd w Electron umożliwia zdalne wykonanie kodu przez niewłaściwe zarządzanie oknami. |
Do wiadomości | 6,0 | 0,3 % | ||
| LangGraph checkpoint savers provide Postgres- and SQLite-backed state persistence for LangGraph workflows and agents. | LangGraph checkpoint savers provide Postgres- and SQLite-backed state persistence for LangGraph workflows and agents. Prior to langgraph-checkpoint-postgres 3.1.3 and langgraph-checkpoint-sqlite 3.1.2, PostgresStore, AsyncPostgresStore, SqliteStore, and AsyncSqliteStore flatten namespace labels… |
Do wiadomości | 6,0 | 0,3 % | ||
| W BlenderMCP występuje luka w przechodzeniu ścieżek, umożliwiająca zapis dowolnych plików. | W BlenderMCP występuje luka w przechodzeniu ścieżek, umożliwiająca zapis dowolnych plików. |
Do wiadomości | 6,0 | 0,3 % | ||
| W ChurchCRM przed wersją 6.5.3 występuje podatność SSRF umożliwiająca atakującym wywołanie żądań do dowolnych hostów. | W ChurchCRM przed wersją 6.5.3 występuje podatność SSRF umożliwiająca atakującym wywołanie żądań do dowolnych hostów. |
Do wiadomości | 6,0 | 0,3 % | ||
| Wyścig warunków w New API pozwala na sztuczne zwiększenie limitu użytkownika. | Wyścig warunków w New API pozwala na sztuczne zwiększenie limitu użytkownika. |
Do wiadomości | 6,0 | 0,3 % | ||
| EspoCRM is an open source customer relationship management application. | EspoCRM is an open source customer relationship management application. Prior to 10.0.2, an authenticated user with mass-update permission can supply a known attachment identifier to the mass-update functionality. The mass-update processor duplicates the attachment without checking whether the… |
Do wiadomości | 6,0 | 0,29 % | ||
| Plausible Analytics Community Edition through 3.2.1 contains an information exposure vulnerability that allows site editors to obtain… | Plausible Analytics Community Edition through 3.2.1 contains an information exposure vulnerability that allows site editors to obtain pending invitation and ownership-transfer IDs from the settings/people page. Attackers can register with the invitee's email using the exposed ID and accept it,… |
Do wiadomości | 6,0 | 0,29 % | ||
| Parse Server before 8.6.103 and 9.0.0 before 9.10.5-alpha.4 contains an information disclosure vulnerability in LiveQuery. | Parse Server before 8.6.103 and 9.0.0 before 9.10.5-alpha.4 contains an information disclosure vulnerability in LiveQuery. Its subscription hash omits constraints next to a $or operator, including the _Session owner filter and beforeSubscribe constraints, so distinct subscriptions are grouped… |
Do wiadomości | 6,0 | 0,29 % | ||
| FreeRDP before 3.32.0 stores the server-supplied signed MS-RDPEGT geometry origin unchecked in an unsigned video surface coordinate, so… | FreeRDP before 3.32.0 stores the server-supplied signed MS-RDPEGT geometry origin unchecked in an unsigned video surface coordinate, so the blit clamp in gdiVideoShowSurface() wraps in 32-bit arithmetic and is skipped. A malicious RDP server can send a negative topLevelLeft to clients connecting… |
Do wiadomości | 6,0 | 0,29 % | ||
| Insertion of sensitive information into sent data in .NET allows an unauthorized attacker to disclose information over a network. | Insertion of sensitive information into sent data in .NET allows an unauthorized attacker to disclose information over a network. |
Do wiadomości | 5,9 | 0,78 % | ||
| FreeRDP from 3.9.0 before 3.32.0 contains a NULL pointer dereference vulnerability in the RDPEAR NDR reader that allows malicious servers… | FreeRDP from 3.9.0 before 3.32.0 contains a NULL pointer dereference vulnerability in the RDPEAR NDR reader that allows malicious servers to crash clients via truncated KERB_RPC_INTERNAL_NAME data. Attackers can send a CreateApReqAuthenticatorReq with NameCount of two or more ending before the… |
Do wiadomości | 6,0 | 0,29 % | ||
| FreeRDP from 3.9.0 before 3.32.0 contains an out-of-bounds read vulnerability in the RDPEAR NDR scalar readers, which check value length… | FreeRDP from 3.9.0 before 3.32.0 contains an out-of-bounds read vulnerability in the RDPEAR NDR scalar readers, which check value length before consuming alignment padding. Malicious or compromised RDP servers can send crafted unaligned RDPEAR payloads, such as CreateApReqAuthenticatorReq… |
Do wiadomości | 6,0 | 0,29 % | ||
| W rclone przed wersją 1.75.0 występuje podatność na odmowę usługi, która może zatrzymać procesy. | W rclone przed wersją 1.75.0 występuje podatność na odmowę usługi, która może zatrzymać procesy. |
Do wiadomości | 6,0 | 0,29 % | ||
| A vulnerability has been found in Divyanshu-hash GitPilot-MCP up to 9ed9f153ba4158a2ad230ee4871b25130da29ffd. | A vulnerability has been found in Divyanshu-hash GitPilot-MCP up to 9ed9f153ba4158a2ad230ee4871b25130da29ffd. This impacts the function repo_path of the file main.py. Such manipulation of the argument command leads to command injection. The attack can be launched remotely. The exploit has been… |
Do wiadomości | 5,5 | 2,79 % | ||
| Wstrzyknięcie SQL w Corteza umożliwia nieautoryzowany dostęp do danych. | Wstrzyknięcie SQL w Corteza umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,0 | 0,28 % | ||
| Błąd w better-auth umożliwia atakującym fałszowanie parametrów OAuth i przejmowanie sesji. | Błąd w better-auth umożliwia atakującym fałszowanie parametrów OAuth i przejmowanie sesji. |
Do wiadomości | 6,0 | 0,28 % | ||
| Błąd w Search Guard FLX umożliwia dostęp do wszystkich dokumentów z indeksów w sygnale. | Błąd w Search Guard FLX umożliwia dostęp do wszystkich dokumentów z indeksów w sygnale. |
Do wiadomości | 6,0 | 0,28 % | ||
| OpenClaw's Discord integration (npm package @openclaw/discord) before version 2026.9.3 could lose the sender-scoped media policy in the… | OpenClaw's Discord integration (npm package @openclaw/discord) before version 2026.9.3 could lose the sender-scoped media policy in the emoji and sticker upload actions before loading a local file. A sender permitted to invoke those actions could cause OpenClaw to read a host path that the same… |
Do wiadomości | 6,0 | 0,28 % | ||
| Erupt through 2.3.0 contains an HQL injection vulnerability that allows authenticated users to bypass tree-scoped data filters by… | Erupt through 2.3.0 contains an HQL injection vulnerability that allows authenticated users to bypass tree-scoped data filters by injecting unescaped quotes into the linkTreeVal parameter of POST /erupt-api/data/table/{erupt}. Attackers holding query permission on entities with String-keyed… |
Do wiadomości | 6,0 | 0,28 % | ||
| The GiveWP WordPress plugin before 4.19.0.1 does not properly validate a user-supplied filename before reading it from disk, allowing… | The GiveWP WordPress plugin before 4.19.0.1 does not properly validate a user-supplied filename before reading it from disk, allowing users with a high-privilege custom role to perform path traversal, disclose the contents of JSON-parseable files anywhere on the server, and overwrite the GiveWP… |
Do wiadomości | 6,0 | 0,28 % | ||
| The Looker endpoint for generating new projects from database connections allows users to specify "looker" as a connection name, which is… | The Looker endpoint for generating new projects from database connections allows users to specify "looker" as a connection name, which is a reserved internal name for Looker's internal MySQL database. The schemas parameter is vulnerable to SQL injection, enabling attackers to manipulate SELECT… |
Do wiadomości | 6,0 | 0,27 % | ||
| FreeRDP 3.0.0 before 3.32.0 contains an insufficiently protected credentials vulnerability where the /restricted-admin option fails to… | FreeRDP 3.0.0 before 3.32.0 contains an insufficiently protected credentials vulnerability where the /restricted-admin option fails to suppress CredSSP credential delegation, sending the cleartext password to the RDP server. A compromised or man-in-the-middle destination host can decode… |
Do wiadomości | 6,0 | 0,27 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.