Baza CVE

Błąd w VeraCrypt umożliwia tańsze ataki na hasła w niektórych niestandardowych kompilacjach.

VeraCrypt provides disk encryption with strong security based on TrueCrypt. From 1.26.6 until 1.26.29, file-hosted hidden volume creation forces quick format and the FormatNoFs function in src/Common/Format.c and FormatFat function in src/Common/Fat.c use WriteFile to place raw zeroed sectors at…

Wstrzyknięcie HTML i JavaScript w OctoPrint umożliwia atakującemu przejęcie sesji użytkownika.

Przepełnienie bufora w Checkmate pozwala na zamrożenie punktów końcowych API przez złośliwe wyrażenia.

W Infracost przed 0.10.45 przepełnienie bufora pozwala na odczyt plików spoza repozytorium.

W Infracost przed 0.10.45 atakujący może ujawnić token Terraform przez złośliwe dane wejściowe.

Przechowywanie w pamięci wrażliwych danych w Johnson Controls Simplex umożliwia ich wykradzenie.

The Brushfire platform's video content streaming application (https://online.brushfire.com) exposes database path in requests to users, allowing a remote, unauthenticated attacker to read information about other users. Fixed February 2026.

Luka w ONNX pozwala na atak symlinkowy, co może prowadzić do nieautoryzowanego zapisu w plikach.

Obejście izolacji w Incus pozwala na tworzenie kontenerów naruszających zasady projektu.

Dereferencja wskaźnika w Incus pozwala na awarię demona przez przesłanie wadliwego backupu.

Błąd w iccDEV umożliwia atakującemu odczyt danych poza zakresem.

Dereferencja wskaźnika nil w Incus powoduje awarię i odmowę usługi dla projektów w klastrze.

Błąd w Incus umożliwia zdalne zablokowanie demona przez przesłanie uszkodzonego backupu.

Ujawnienie tokena w N-able PassPortal umożliwia nadużycie uwierzytelnienia.

Joomla Extension - yootheme.com - Reflected XSS and open redirect via the submission redirect parameter in Zoo < 4.1.66

Authorization Bypass Through User-Controlled Key in the transaction save endpoint in Roskus Prospero Flow CRM 4.9.1 through 5.14.0 allows a user with transaction and accounting creation permissions to disclose another company's bank account name, bank name and card last four digits via a…

Joomla Extension - yootheme.com - Unauthenticated arbitrary directory listing via the Gallery element in Zoo < 4.1.66.

Joomla Extension - yootheme.com - Missing CSRF tokens on front-end state changes in Zoo < 4.1.66

Błąd w Semantic Cache w Spring AI umożliwia dzielenie odpowiedzi między niezwiązanymi kontekstami.

The Passster WordPress plugin before 4.3.9 does not correctly match its own public endpoint paths when deciding which REST API requests may bypass global password protection, comparing them as an unanchored substring of the request URI rather than against the resolved route, allowing an…

The Limit Login Attempts Reloaded WordPress plugin before 3.3.5 does not compare logins against its username denylist case-insensitively and does not account for the account's email address, allowing an account an administrator intended to block from logging in to authenticate anyway.

The ProfilePress WordPress plugin before 4.17.1 does not strip shortcodes from two of its profile fields before rendering them on public pages, allowing unauthenticated attackers to store shortcodes that are then executed when the page is viewed, disclosing a chosen user's email address, login and…

The Charitable WordPress plugin before 1.8.12 does not verify the authenticity of incoming Square payment webhook events in a default configuration, allowing unauthenticated attackers to forge webhook notifications that mark donations as paid without any real payment.

The Eventin WordPress plugin before 4.1.21 does not validate a user-supplied webhook URL stored on events nor verify event ownership, allowing users with contributor-level access and above to trigger blind server-side requests to arbitrary hosts.