KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
actix-files before 0.6.10 contains a denial of service vulnerability triggered by an empty Range header in GET requests for static files. When panic is set to abort, remote attackers can crash the process on-demand by sending a GET request with an empty Range header.
Ninja Forms WordPress plugin version 3.14.8 contains a client-side enforcement of server-side security vulnerability that allows unauthenticated attackers to bypass all form validation by merging attacker-controlled field metadata over server-loaded form definitions before validation runs.…
Luka przejścia ścieżki w ATutorze pozwala administratorowi na dostęp do plików poza katalogiem logów.
Nieprawidłowe ponowne użycie sesji w Apache Traffic Server naraża dane na wyciek między połączeniami.
Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account…
Wykorzystanie przejścia ścieżki w Vitals ESP umożliwia zdalne pobieranie dowolnych plików systemowych.
Open Mercato does not validate regex rules. An attacker with privileges to create the regex rule can add an unsafe regex to a field. When someone provide the proper string it can result in a DoS attack. This issue was fixed in version 0.6.4.
Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in The Wikimedia Foundation Mediawiki - WikiLove Extension allows Stored XSS.This issue affects Mediawiki - WikiLove Extension: 1.39.
Błąd w bibliotece ip-address pozwala na obejście filtrów SSRF, traktując wewnętrzne adresy jako zewnętrzne.
Nieautoryzowane usunięcie powiadomień w systemie umożliwia atakującemu usunięcie powiadomień innych użytkowników.
In affected versions of MISP cti-transmute, the conversion-history details endpoint performs an incomplete authorization check. When a history record references a deleted conversion, the associated conversion lookup returns None. The previous logic only denied access when the conversion object…
CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. Prior to 1.120.0, the SSRF protection in projects/core/src/main/java/dan200/computercraft/core/apis/http/options/AddressPredicate.java blocks the RFC 6052 64:ff9b::/96 NAT64 prefix but omits the…
Parse Server versions >= 9.0.0 before 9.10.0-alpha.4 and versions before 8.6.85 contain a schema disclosure vulnerability. When the GraphQL API is mounted with public introspection disabled (graphQLPublicIntrospection: false, the default), schema-derived 'Did you mean ...?' suggestions were still…
SurrealDB versions before 3.2.0 contain a denial of service vulnerability in the SurrealML header parser that allows authenticated Owner-role users to crash the server by uploading a malformed .surml file to the /ml/import endpoint. Attackers can supply non-numeric input-dimensions or other…
Podatność w SurrealDB umożliwia atakującym zablokowanie serwera przez nieprawidłowe role użytkowników.
The webhook URL validator in `website/notifications/webhooks.py` uses `ip.is_global` to reject non-public addresses after DNS resolution. IPv6 transition addresses (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) are classified as globally routable by IANA, so `is_global` returns…
Joomla Extension - phoca.cz - Path Traversal vulnerability in Phoca Commander 1.0.0-6.1.1 - Improper limitation of paths for save and download actions lead to path traversal vulnerabilities.
Wstrzyknięcie poleceń w NVIDIA UFM Enterprise umożliwia zdalne wykonanie kodu przez atakującego.
Błąd w Blueprint Studio umożliwia przechowywanie tokenów Git w pliku tekstowym, co naraża je na odczyt przez inne procesy.
Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu.
Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu.
A vulnerability was identified in NucleoidAI Nucleoid up to 0.7.10. The impacted element is the function extension.apply of the file /src/cluster.ts of the component Outbound Request Handler. Such manipulation of the argument https/ip/port/path/headers leads to server-side request forgery. The…
NLTK before 3.10.3 contains an uncontrolled recursion vulnerability in nltk.featstruct.FeatStructReader that allows unauthenticated attackers to cause a denial of service by supplying deeply nested feature-structure input. Attackers can craft trivial payloads with nested brackets that exceed…
A vulnerability has been identified in Gridscale X Prepay (All versions < V4.2.1). The affected application is vulnerable to user enumeration due to distinguishable responses. This could allow an unauthenticated remote attacker to determine if a user is valid or not, enabling a brute force attack…
Joomla Extension - tassos.gr - Client-controlled validation bypass in Convert Forms extension < 5.2.5 - The front-end Submissions view did not enforce access control. An unauthenticated visitor could therefore list a form's submissions.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| actix-files before 0.6.10 contains a denial of service vulnerability triggered by an empty Range header in GET requests for static files. | actix-files before 0.6.10 contains a denial of service vulnerability triggered by an empty Range header in GET requests for static files. When panic is set to abort, remote attackers can crash the process on-demand by sending a GET request with an empty Range header. |
Do wiadomości | 6,9 | 0,49 % | ||
| Ninja Forms WordPress plugin version 3.14.8 contains a client-side enforcement of server-side security vulnerability that allows… | Ninja Forms WordPress plugin version 3.14.8 contains a client-side enforcement of server-side security vulnerability that allows unauthenticated attackers to bypass all form validation by merging attacker-controlled field metadata over server-loaded form definitions before validation runs.… |
Do wiadomości | 6,9 | 0,49 % | ||
| Luka przejścia ścieżki w ATutorze pozwala administratorowi na dostęp do plików poza katalogiem logów. | Luka przejścia ścieżki w ATutorze pozwala administratorowi na dostęp do plików poza katalogiem logów. |
Do wiadomości | 6,9 | 0,49 % | ||
| Nieprawidłowe ponowne użycie sesji w Apache Traffic Server naraża dane na wyciek między połączeniami. | Nieprawidłowe ponowne użycie sesji w Apache Traffic Server naraża dane na wyciek między połączeniami. |
Do wiadomości | 6,9 | 0,49 % | ||
| Automatisch reveals whether an address is registered through the response to its forgot-password request. | Automatisch reveals whether an address is registered through the response to its forgot-password request. The controller at packages/backend/src/controllers/internal/api/v1/users/forgot-password.js looks the address up and chains a not-found throw onto the query, so an address with no account… |
Do wiadomości | 6,9 | 0,48 % | ||
| Wykorzystanie przejścia ścieżki w Vitals ESP umożliwia zdalne pobieranie dowolnych plików systemowych. | Wykorzystanie przejścia ścieżki w Vitals ESP umożliwia zdalne pobieranie dowolnych plików systemowych. |
Do wiadomości | 6,9 | 0,48 % | ||
| Open Mercato does not validate regex rules. | Open Mercato does not validate regex rules. An attacker with privileges to create the regex rule can add an unsafe regex to a field. When someone provide the proper string it can result in a DoS attack. This issue was fixed in version 0.6.4. |
Do wiadomości | 6,9 | 0,48 % | ||
| Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in The Wikimedia Foundation… | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in The Wikimedia Foundation Mediawiki - WikiLove Extension allows Stored XSS.This issue affects Mediawiki - WikiLove Extension: 1.39. |
Do wiadomości | 6,9 | 0,48 % | ||
| Błąd w bibliotece ip-address pozwala na obejście filtrów SSRF, traktując wewnętrzne adresy jako zewnętrzne. | Błąd w bibliotece ip-address pozwala na obejście filtrów SSRF, traktując wewnętrzne adresy jako zewnętrzne. |
Do wiadomości | 6,9 | 0,48 % | ||
| Nieautoryzowane usunięcie powiadomień w systemie umożliwia atakującemu usunięcie powiadomień innych użytkowników. | Nieautoryzowane usunięcie powiadomień w systemie umożliwia atakującemu usunięcie powiadomień innych użytkowników. |
Do wiadomości | 6,9 | 0,48 % | ||
| In affected versions of MISP cti-transmute, the conversion-history details endpoint performs an incomplete authorization check. | In affected versions of MISP cti-transmute, the conversion-history details endpoint performs an incomplete authorization check. When a history record references a deleted conversion, the associated conversion lookup returns None. The previous logic only denied access when the conversion object… |
Do wiadomości | 6,9 | 0,48 % | ||
| CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. | CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. Prior to 1.120.0, the SSRF protection in projects/core/src/main/java/dan200/computercraft/core/apis/http/options/AddressPredicate.java blocks the RFC 6052 64:ff9b::/96 NAT64 prefix but omits the… |
Do wiadomości | 6,9 | 0,47 % | ||
| Parse Server versions >= 9.0.0 before 9.10.0-alpha.4 and versions before 8.6.85 contain a schema disclosure vulnerability. | Parse Server versions >= 9.0.0 before 9.10.0-alpha.4 and versions before 8.6.85 contain a schema disclosure vulnerability. When the GraphQL API is mounted with public introspection disabled (graphQLPublicIntrospection: false, the default), schema-derived 'Did you mean ...?' suggestions were still… |
Do wiadomości | 6,9 | 0,47 % | ||
| SurrealDB versions before 3.2.0 contain a denial of service vulnerability in the SurrealML header parser that allows authenticated… | SurrealDB versions before 3.2.0 contain a denial of service vulnerability in the SurrealML header parser that allows authenticated Owner-role users to crash the server by uploading a malformed .surml file to the /ml/import endpoint. Attackers can supply non-numeric input-dimensions or other… |
Do wiadomości | 6,9 | 0,47 % | ||
| Podatność w SurrealDB umożliwia atakującym zablokowanie serwera przez nieprawidłowe role użytkowników. | Podatność w SurrealDB umożliwia atakującym zablokowanie serwera przez nieprawidłowe role użytkowników. |
Do wiadomości | 6,9 | 0,47 % | ||
| The webhook URL validator in `website/notifications/webhooks.py` uses `ip.is_global` to reject non-public addresses after DNS resolution.… | The webhook URL validator in `website/notifications/webhooks.py` uses `ip.is_global` to reject non-public addresses after DNS resolution. IPv6 transition addresses (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) are classified as globally routable by IANA, so `is_global` returns… |
Do wiadomości | 6,9 | 0,47 % | ||
| Joomla Extension - phoca.cz - Path Traversal vulnerability in Phoca Commander 1.0.0-6.1.1 - Improper limitation of paths for save and… | Joomla Extension - phoca.cz - Path Traversal vulnerability in Phoca Commander 1.0.0-6.1.1 - Improper limitation of paths for save and download actions lead to path traversal vulnerabilities. |
Do wiadomości | 6,9 | 0,47 % | ||
| Wstrzyknięcie poleceń w NVIDIA UFM Enterprise umożliwia zdalne wykonanie kodu przez atakującego. | Wstrzyknięcie poleceń w NVIDIA UFM Enterprise umożliwia zdalne wykonanie kodu przez atakującego. |
Do wiadomości | 6,8 | 0,97 % | ||
| Błąd w Blueprint Studio umożliwia przechowywanie tokenów Git w pliku tekstowym, co naraża je na odczyt przez inne procesy. | Błąd w Blueprint Studio umożliwia przechowywanie tokenów Git w pliku tekstowym, co naraża je na odczyt przez inne procesy. |
Do wiadomości | 6,9 | 0,46 % | ||
| Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,9 | 0,46 % | ||
| Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w IEC 60870-5-104 umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,9 | 0,46 % | ||
| A vulnerability was identified in NucleoidAI Nucleoid up to 0.7.10. | A vulnerability was identified in NucleoidAI Nucleoid up to 0.7.10. The impacted element is the function extension.apply of the file /src/cluster.ts of the component Outbound Request Handler. Such manipulation of the argument https/ip/port/path/headers leads to server-side request forgery. The… |
Do wiadomości | 6,9 | 0,46 % | ||
| NLTK before 3.10.3 contains an uncontrolled recursion vulnerability in nltk.featstruct.FeatStructReader that allows unauthenticated… | NLTK before 3.10.3 contains an uncontrolled recursion vulnerability in nltk.featstruct.FeatStructReader that allows unauthenticated attackers to cause a denial of service by supplying deeply nested feature-structure input. Attackers can craft trivial payloads with nested brackets that exceed… |
Do wiadomości | 6,9 | 0,46 % | ||
| A vulnerability has been identified in Gridscale X Prepay (All versions < V4.2.1). | A vulnerability has been identified in Gridscale X Prepay (All versions < V4.2.1). The affected application is vulnerable to user enumeration due to distinguishable responses. This could allow an unauthenticated remote attacker to determine if a user is valid or not, enabling a brute force attack… |
Do wiadomości | 6,9 | 0,46 % | ||
| Joomla Extension - tassos.gr - Client-controlled validation bypass in Convert Forms extension < 5.2.5 - The front-end Submissions view did… | Joomla Extension - tassos.gr - Client-controlled validation bypass in Convert Forms extension < 5.2.5 - The front-end Submissions view did not enforce access control. An unauthenticated visitor could therefore list a form's submissions. |
Do wiadomości | 6,9 | 0,45 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.