KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu.
Umbraco CMS v8.14.1 contains a server-side request forgery vulnerability that allows attackers to manipulate baseUrl parameters in multiple dashboard and help controller endpoints. Attackers can craft malicious requests to the GetContextHelpForPage, GetRemoteDashboardContent, and…
Joomla Extension - joomlafry.com - Unauthenticated forced execution of published automation tasks in TF Content 2.9.0 - 2.9.4 - The extension exposes the site task `records.custom_action` without authentication, ACL, CSRF, task-trigger, content-binding, or cron-token enforcement. A Guest can…
Brak autoryzacji w OpenViking pozwala atakującym na dostęp do danych zadań innych użytkowników.
Printers and Multifunction Printers (MFPs) provided by Ricoh Company, Ltd. do not implement restrictions on SSH port forwarding, allowing to connect to arbitrary destinations. When SSH is enabled on an affected product, SSH port forwarding may be leveraged to connect to other node on the LAN.
An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. `django.utils.translation.get_supported_language_variant()` is subject to a potential denial-of-service attack when processing many distinct, very long language codes, which are retained as keys in an…
An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. `django.utils.http.parse_header_parameters()` was subject to a potential denial-of-service attack due to quadratic time complexity when parsing a value with many separators inside a quoted parameter. An…
In igloohome Smart Lock Mobile App versions 3.2.3 and prior, an Inclusion of Sensitive Information in Source Code vulnerability could allow an unauthorized actor to access functions or backend services that were not sufficiently protected by authentication controls.
Wstrzyknięcie poleceń w Kenwood DNR1007XR umożliwia zdalne wykonanie kodu przez lokalnego atakującego.
Obejście uwierzytelnienia w rclone umożliwia dostęp do poufnych danych procesów.
Błąd w Biztalk360 umożliwia atakującemu odczyt plików na serwerze przez przejście do katalogu.
A vulnerability has been identified regarding insufficient validation in the Frappe Cloud/ERPNext authentication process, which allows multiple email addresses to be accepted by manipulating the email field in the /api/method/press.api.account.signup endpoint. The vulnerability occurs when an…
SiYuan versions before v3.7.4 contain a missing authorization vulnerability in the /api/ref/refreshBacklink endpoint that allows anonymous readers to trigger persistent server-side writes. Attackers can invoke the endpoint with an attacker-controlled block ID to flush transaction queues, scan all…
Błąd zarządzania sesjami w MikroTik RouterOS pozwala na nieautoryzowany dostęp po zmianie uprawnień.
W Admidio przed wersją 5.0.11 występuje podatność na XSS, umożliwiająca atakującym wykonanie kodu w przeglądarkach użytkowników.
Błąd autoryzacji w Adobe Commerce umożliwia nieautoryzowany dostęp do danych.
Błąd w Guzzle umożliwia atakującym przechwycenie poświadczeń proxy przez logi serwera.
Exposure of Sensitive Information to an Unauthorized Actor vulnerability in The Wikimedia Foundation Mediawiki - Translate Extension allows Footprinting. Translate extension appears to use jobs to make edits to translation pages. This causes the CheckUser tool to log the wrong IP and User-Agent…
Tibbo AggreGate Network Manager < 6.40.05 exposes sensitive system information through an unauthenticated endpoint at /cwmp/happyaxis.jsp. The page discloses Java system properties, server path details, and version information to unauthorized users, resulting in information disclosure that could…
SurrealDB versions before 3.1.0 fail to validate DEFINE NAMESPACE or DEFINE DATABASE permissions when processing USE NS and USE DB statements. Unauthenticated attackers can create arbitrary namespaces and databases by issuing USE commands, bypassing authorization checks in the RPC use method and…
Docling simplifies document processing by parsing diverse formats and providing integrations with the generative AI ecosystem. From 2.107.0 until 2.120.3, docling/backend/opendocument_backend.py uses the xlink:href attribute value of a draw:image element as a filesystem path when the referenced…
The OpenFaaS gateway registers GET /system/telemetry in gateway/main.go and, when basic_auth is enabled, wraps each administrative /system/* handler in auth.DecorateWithBasicAuth. TelemetryHandler was left out of that wrap block from 0.27.11, which introduced the route, until 0.27.14, which added…
A vulnerability has been identified in SIMATIC CN 4100 (All versions < V4.0.1). The affected application exhibits inconsistent SNMP behavior, such as unexpected service availability and unreliable configuration handling across protocol versions. This could allow an attacker to access sensitive…
Błąd w StoatChat umożliwia atakującym dostęp do wewnętrznych usług przez IPv6.
Brak uwierzytelnienia w Uniweb/SoliPACS WebServer umożliwia zdalny dostęp do danych kont.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu. | Wersje league/commonmark od 2.7.0 do 2.9.0 mają lukę XSS w AttributesExtension, umożliwiającą wstrzyknięcie skryptu. |
Do wiadomości | 6,9 | 0,39 % | ||
| Umbraco CMS v8.14.1 contains a server-side request forgery vulnerability that allows attackers to manipulate baseUrl parameters in… | Umbraco CMS v8.14.1 contains a server-side request forgery vulnerability that allows attackers to manipulate baseUrl parameters in multiple dashboard and help controller endpoints. Attackers can craft malicious requests to the GetContextHelpForPage, GetRemoteDashboardContent, and… |
Do wiadomości | 6,9 | 0,39 % | ||
| Joomla Extension - joomlafry.com - Unauthenticated forced execution of published automation tasks in TF Content 2.9.0 - 2.9.4 - The… | Joomla Extension - joomlafry.com - Unauthenticated forced execution of published automation tasks in TF Content 2.9.0 - 2.9.4 - The extension exposes the site task `records.custom_action` without authentication, ACL, CSRF, task-trigger, content-binding, or cron-token enforcement. A Guest can… |
Do wiadomości | 6,9 | 0,39 % | ||
| Brak autoryzacji w OpenViking pozwala atakującym na dostęp do danych zadań innych użytkowników. | Brak autoryzacji w OpenViking pozwala atakującym na dostęp do danych zadań innych użytkowników. |
Do wiadomości | 6,9 | 0,38 % | ||
| Printers and Multifunction Printers (MFPs) provided by Ricoh Company, Ltd. | Printers and Multifunction Printers (MFPs) provided by Ricoh Company, Ltd. do not implement restrictions on SSH port forwarding, allowing to connect to arbitrary destinations. When SSH is enabled on an affected product, SSH port forwarding may be leveraged to connect to other node on the LAN. |
Do wiadomości | 6,9 | 0,38 % | ||
| An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. | An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. `django.utils.translation.get_supported_language_variant()` is subject to a potential denial-of-service attack when processing many distinct, very long language codes, which are retained as keys in an… |
Do wiadomości | 6,9 | 0,38 % | ||
| An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. | An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. `django.utils.http.parse_header_parameters()` was subject to a potential denial-of-service attack due to quadratic time complexity when parsing a value with many separators inside a quoted parameter. An… |
Do wiadomości | 6,9 | 0,38 % | ||
| In igloohome Smart Lock Mobile App versions 3.2.3 and prior, an Inclusion of Sensitive Information in Source Code vulnerability could… | In igloohome Smart Lock Mobile App versions 3.2.3 and prior, an Inclusion of Sensitive Information in Source Code vulnerability could allow an unauthorized actor to access functions or backend services that were not sufficiently protected by authentication controls. |
Do wiadomości | 6,9 | 0,38 % | ||
| Wstrzyknięcie poleceń w Kenwood DNR1007XR umożliwia zdalne wykonanie kodu przez lokalnego atakującego. | Wstrzyknięcie poleceń w Kenwood DNR1007XR umożliwia zdalne wykonanie kodu przez lokalnego atakującego. |
Do wiadomości | 6,8 | 0,88 % | ||
| Obejście uwierzytelnienia w rclone umożliwia dostęp do poufnych danych procesów. | Obejście uwierzytelnienia w rclone umożliwia dostęp do poufnych danych procesów. |
Do wiadomości | 6,9 | 0,38 % | ||
| Błąd w Biztalk360 umożliwia atakującemu odczyt plików na serwerze przez przejście do katalogu. | Błąd w Biztalk360 umożliwia atakującemu odczyt plików na serwerze przez przejście do katalogu. |
Do wiadomości | 6,8 | 0,88 % | ||
| A vulnerability has been identified regarding insufficient validation in the Frappe Cloud/ERPNext authentication process, which allows… | A vulnerability has been identified regarding insufficient validation in the Frappe Cloud/ERPNext authentication process, which allows multiple email addresses to be accepted by manipulating the email field in the /api/method/press.api.account.signup endpoint. The vulnerability occurs when an… |
Do wiadomości | 6,9 | 0,38 % | ||
| SiYuan versions before v3.7.4 contain a missing authorization vulnerability in the /api/ref/refreshBacklink endpoint that allows anonymous… | SiYuan versions before v3.7.4 contain a missing authorization vulnerability in the /api/ref/refreshBacklink endpoint that allows anonymous readers to trigger persistent server-side writes. Attackers can invoke the endpoint with an attacker-controlled block ID to flush transaction queues, scan all… |
Do wiadomości | 6,9 | 0,38 % | ||
| Błąd zarządzania sesjami w MikroTik RouterOS pozwala na nieautoryzowany dostęp po zmianie uprawnień. | Błąd zarządzania sesjami w MikroTik RouterOS pozwala na nieautoryzowany dostęp po zmianie uprawnień. |
Do wiadomości | 6,9 | 0,38 % | ||
| W Admidio przed wersją 5.0.11 występuje podatność na XSS, umożliwiająca atakującym wykonanie kodu w przeglądarkach użytkowników. | W Admidio przed wersją 5.0.11 występuje podatność na XSS, umożliwiająca atakującym wykonanie kodu w przeglądarkach użytkowników. |
Do wiadomości | 6,9 | 0,38 % | ||
| Błąd autoryzacji w Adobe Commerce umożliwia nieautoryzowany dostęp do danych. | Błąd autoryzacji w Adobe Commerce umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,8 | 0,88 % | ||
| Błąd w Guzzle umożliwia atakującym przechwycenie poświadczeń proxy przez logi serwera. | Błąd w Guzzle umożliwia atakującym przechwycenie poświadczeń proxy przez logi serwera. |
Do wiadomości | 6,9 | 0,37 % | ||
| Exposure of Sensitive Information to an Unauthorized Actor vulnerability in The Wikimedia Foundation Mediawiki - Translate Extension… | Exposure of Sensitive Information to an Unauthorized Actor vulnerability in The Wikimedia Foundation Mediawiki - Translate Extension allows Footprinting. Translate extension appears to use jobs to make edits to translation pages. This causes the CheckUser tool to log the wrong IP and User-Agent… |
Do wiadomości | 6,9 | 0,37 % | ||
| Tibbo AggreGate Network Manager < 6.40.05 exposes sensitive system information through an unauthenticated endpoint at /cwmp/happyaxis.jsp. | Tibbo AggreGate Network Manager < 6.40.05 exposes sensitive system information through an unauthenticated endpoint at /cwmp/happyaxis.jsp. The page discloses Java system properties, server path details, and version information to unauthorized users, resulting in information disclosure that could… |
Do wiadomości | 6,9 | 0,37 % | ||
| SurrealDB versions before 3.1.0 fail to validate DEFINE NAMESPACE or DEFINE DATABASE permissions when processing USE NS and USE DB… | SurrealDB versions before 3.1.0 fail to validate DEFINE NAMESPACE or DEFINE DATABASE permissions when processing USE NS and USE DB statements. Unauthenticated attackers can create arbitrary namespaces and databases by issuing USE commands, bypassing authorization checks in the RPC use method and… |
Do wiadomości | 6,9 | 0,37 % | ||
| Docling simplifies document processing by parsing diverse formats and providing integrations with the generative AI ecosystem. | Docling simplifies document processing by parsing diverse formats and providing integrations with the generative AI ecosystem. From 2.107.0 until 2.120.3, docling/backend/opendocument_backend.py uses the xlink:href attribute value of a draw:image element as a filesystem path when the referenced… |
Do wiadomości | 6,9 | 0,37 % | ||
| The OpenFaaS gateway registers GET /system/telemetry in gateway/main.go and, when basic_auth is enabled, wraps each administrative… | The OpenFaaS gateway registers GET /system/telemetry in gateway/main.go and, when basic_auth is enabled, wraps each administrative /system/* handler in auth.DecorateWithBasicAuth. TelemetryHandler was left out of that wrap block from 0.27.11, which introduced the route, until 0.27.14, which added… |
Do wiadomości | 6,9 | 0,37 % | ||
| A vulnerability has been identified in SIMATIC CN 4100 (All versions < V4.0.1). | A vulnerability has been identified in SIMATIC CN 4100 (All versions < V4.0.1). The affected application exhibits inconsistent SNMP behavior, such as unexpected service availability and unreliable configuration handling across protocol versions. This could allow an attacker to access sensitive… |
Do wiadomości | 6,9 | 0,37 % | ||
| Błąd w StoatChat umożliwia atakującym dostęp do wewnętrznych usług przez IPv6. | Błąd w StoatChat umożliwia atakującym dostęp do wewnętrznych usług przez IPv6. |
Do wiadomości | 6,9 | 0,36 % | ||
| Brak uwierzytelnienia w Uniweb/SoliPACS WebServer umożliwia zdalny dostęp do danych kont. | Brak uwierzytelnienia w Uniweb/SoliPACS WebServer umożliwia zdalny dostęp do danych kont. |
Do wiadomości | 6,9 | 0,36 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.