Baza CVE

Luka w OAuth w systemie email pozwala Super Adminowi na wyciek tajnego klucza.

Wykorzystanie podatności w searchParamsToObject() prowadzi do trwałego XSS w Maps.

Wykorzystanie akcji validatate.api.exists przez uwierzytelnionych użytkowników pozwala na wyciek poufnych danych.

Wysyłanie specjalnie skonstruowanych żądań do Frontend powoduje przeciążenie CPU, co może prowadzić do odmowy usługi.

Błąd w logice HttpRequest w Zabbix pozwala na odczyt pamięci poza przydzielonym zakresem, co grozi utratą poufności.

Wykorzystanie API Zabbix przez uwierzytelnionych użytkowników pozwala na wyciek klucza PSK, co zagraża integralności danych.

Błąd w mechanizmie blokady logowania Zabbix API umożliwia nadmierne próby zgadywania haseł.

Authorization bypass through User-Controlled key vulnerability in Netiket Information Technologies EdoWEB allows Accessing Functionality Not Properly Constrained by ACLs. This issue affects EdoWEB: before 780-g7.

Zewnętrzna kontrola nazwy pliku w Citrix WorkSpace App na MacOS umożliwia nieautoryzowany dostęp do plików.

Obejście autoryzacji w ArcadeDB pozwala nieautoryzowanym użytkownikom na modyfikację konfiguracji serwera.

Błąd w ArcadeDB pozwala na nieautoryzowany dostęp do danych przez nieodpowiednie ACL.

DOMPurify before 3.4.13 contains a cross-site scripting vulnerability in IN_PLACE sanitization where element-removal hooks fail to neutralize detached subtrees. Attackers can supply HTML with event handlers on descendant elements that execute after sanitization completes, even though the returned…

Nieautoryzowany dostęp w ArcadeDB pozwala na ujawnienie metadanych baz danych.

Wykorzystanie funkcji range() w ArcadeDB prowadzi do odmowy usługi przez wyczerpanie pamięci serwera.

W Grav przed 2.0.15 występuje podatność na XSS, umożliwiająca wstrzyknięcie kodu przez media.

W Grav przed 2.0.14 występuje podatność XSS, umożliwiająca atakującemu wstrzyknięcie złośliwego JavaScriptu.

Nieprawidłowa autoryzacja w karakeep-app umożliwia zdalne przejęcie konta.

Wtyczka Grav plugin-api umożliwia wstrzyknięcie skryptów przez nieprawidłową sanitizację plików.

Wtyczka Grav Form przed 9.1.19 pozwala na wstrzyknięcie HTML i JavaScript przez nieodpowiednie filtrowanie.

SiYuan before v3.7.4 contains an insufficient access control vulnerability in the /api/lute/spinBlockDOM endpoint, which is guarded only by CheckAuth middleware instead of CheckAdminRole like its sibling endpoint. Authenticated users with RoleEditor or RoleReader roles can invoke the endpoint to…

SiYuan before v3.7.4 contains a server-side request forgery (SSRF) vulnerability in the isPrivateIP function in kernel/util/net.go, used by SSRFSafeDialer to enforce SSRF protection in SafeMode. The function only checks for loopback, link-local unicast, private, and unspecified addresses and does…

Cleartext storage of sensitive information vulnerability in Kriptok Crypto and Information Technologies Industry Trade Inc. Cryptosim allows Retrieve Embedded Sensitive Data. This issue affects Cryptosim: before 3.1.0.229.

Nieprawidłowe ograniczenie prób uwierzytelnienia w karakeep-app umożliwia zdalne ataki.

Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Fileorbis Informatics Services Trade Inc. FileOrbis allows Stored XSS. This issue affects FileOrbis: before 16.5.

A flaw was found in the group policy provider of Keycloak authorization services, which is used to manage fine-grained access control to resources. The issue occurs when the system evaluates group-based policies using tokens that only contain group names rather than full paths. If two groups in…