KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora.
Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem.
Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a user's account via replay of a captured device verification link by an authenticated victim.
The MCP SSE endpoint in oatpp-mcp returns an instance pointer as the session ID, which is not unique nor cryptographically secure. This allows network attackers with access to the oatpp-mcp server to guess future session IDs and hijack legitimate client MCP sessions, returning malicious responses…
Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików.
Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning.
Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego.
Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych.
Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych.
Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych.
Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych.
Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych.
Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych.
The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize sends caller-supplied credential headers to a different host after an HTTP redirect. Mechanize#request_headers= is reapplied by Mechanize::HTTP::Agent#request_add_headers even after…
Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL.
The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the '/scanner/scan-without-login' REST API endpoint. This makes…
The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query, allowing authenticated users with the Editor role or above to perform SQL injection attacks.
The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in one of its media-library query handlers, allowing users with the Author role to perform SQL injection.
Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych.
The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before using it in a SQL query, allowing users holding the WP Hotel Booking WordPress plugin before 2.3.2's booking-management roles to perform SQL injection attacks.
Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy.
Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik.
A local unprivileged user on the same host can redirect all Zip/UnZip transformer output into a directory of their choosing by pre-creating /tmp/ziptransformer as a symlink before the application starts. Spring Integration 7.1.0 Spring Integration 7.0.0 - 7.0.5 Spring Integration 6.5.0 -…
Przepełnienie bufora w Kenwood DNR1007XR umożliwia lokalnym atakującym wykonanie dowolnego kodu.
Wstrzyknięcie poleceń w Tenda AC6 umożliwia zdalne wykonanie kodu.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora. | Luci-app-https-dns-proxy ma podatność na XSS, co pozwala na wykonanie JavaScriptu w przeglądarce administratora. |
Do wiadomości | 6,8 | 0,41 % | ||
| Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem. | Brak walidacji ścieżek w VictoriaMetrics pozwala na nadpisanie plików poza docelowym katalogiem. |
Do wiadomości | 6,8 | 0,4 % | ||
| Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a… | Authentication bypass OAuth device authorization flow in Devolutions Server 2026.3.7.0 and earlier allows a remote attacker to take over a user's account via replay of a captured device verification link by an authenticated victim. |
Do wiadomości | 6,8 | 0,4 % | ||
| The MCP SSE endpoint in oatpp-mcp returns an instance pointer as the session ID, which is not unique nor cryptographically secure. | The MCP SSE endpoint in oatpp-mcp returns an instance pointer as the session ID, which is not unique nor cryptographically secure. This allows network attackers with access to the oatpp-mcp server to guess future session IDs and hijack legitimate client MCP sessions, returning malicious responses… |
Do wiadomości | 6,8 | 0,4 % | ||
| Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików. | Obejście sprawdzania prefiksów w API Velociraptor umożliwia dostęp do zastrzeżonych plików. |
Do wiadomości | 6,8 | 0,4 % | ||
| Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning. | Przewidywalny PRNG w resolverze DNS w Netty umożliwia atak typu DNS Cache Poisoning. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego. | Luka w JDBC w Oracle Database Server umożliwia przejęcie kontroli przez atakującego. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych. | Luka wtyczki Zombify dla WordPressa umożliwia atakującym odczytanie plików systemowych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych. | Luka w Oracle Commerce Experience Manager pozwala na nieautoryzowany dostęp do danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych. | Luka w Oracle Commerce Experience Manager umożliwia nieautoryzowany dostęp do danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych. | Luka w Oracle Fusion Middleware umożliwia zdalny dostęp do krytycznych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych. | Luka w Oracle HRMS umożliwia atakującemu zdalny dostęp do wrażliwych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych. | Luka w Oracle Order Management umożliwia nieautoryzowany dostęp do krytycznych danych. |
Do wiadomości | 6,8 | 0,4 % | ||
| The Mechanize library is used for automating interaction with websites. | The Mechanize library is used for automating interaction with websites. Prior to 2.14.1, Mechanize sends caller-supplied credential headers to a different host after an HTTP redirect. Mechanize#request_headers= is reapplied by Mechanize::HTTP::Agent#request_add_headers even after… |
Do wiadomości | 6,8 | 0,4 % | ||
| Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL. | Luka w koku-metrics-operator umożliwia kradzież tokena uwierzytelniającego przez złośliwy URL. |
Do wiadomości | 6,8 | 0,39 % | ||
| The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions… | The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the '/scanner/scan-without-login' REST API endpoint. This makes… |
Do wiadomości | 6,8 | 0,39 % | ||
| The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query,… | The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query, allowing authenticated users with the Editor role or above to perform SQL injection attacks. |
Do wiadomości | 6,8 | 0,39 % | ||
| The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in… | The Media Library Assistant WordPress plugin before 3.40 does not validate a search parameter before concatenating it into a SQL query in one of its media-library query handlers, allowing users with the Author role to perform SQL injection. |
Do wiadomości | 6,8 | 0,39 % | ||
| Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych. | Wstrzyknięcie SQL w wtyczce Contact Form 7 umożliwia atakującym dostęp do bazy danych. |
Do wiadomości | 6,8 | 0,39 % | ||
| The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before… | The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before using it in a SQL query, allowing users holding the WP Hotel Booking WordPress plugin before 2.3.2's booking-management roles to perform SQL injection attacks. |
Do wiadomości | 6,8 | 0,39 % | ||
| Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy. | Błąd w File Browser pozwala na umieszczenie pliku w katalogu nadrzędnym przy pomocy złośliwej nazwy. |
Do wiadomości | 6,8 | 0,39 % | ||
| Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik. | Obejście uwierzytelnienia w XenForo pozwala atakującemu na zalogowanie się jako inny użytkownik. |
Do wiadomości | 6,8 | 0,39 % | ||
| A local unprivileged user on the same host can redirect all Zip/UnZip transformer output into a directory of their choosing by… | A local unprivileged user on the same host can redirect all Zip/UnZip transformer output into a directory of their choosing by pre-creating /tmp/ziptransformer as a symlink before the application starts. Spring Integration 7.1.0 Spring Integration 7.0.0 - 7.0.5 Spring Integration 6.5.0 -… |
Do wiadomości | 6,8 | 0,39 % | ||
| Przepełnienie bufora w Kenwood DNR1007XR umożliwia lokalnym atakującym wykonanie dowolnego kodu. | Przepełnienie bufora w Kenwood DNR1007XR umożliwia lokalnym atakującym wykonanie dowolnego kodu. |
Do wiadomości | 6,8 | 0,39 % | ||
| Wstrzyknięcie poleceń w Tenda AC6 umożliwia zdalne wykonanie kodu. | Wstrzyknięcie poleceń w Tenda AC6 umożliwia zdalne wykonanie kodu. |
Do wiadomości | 6,3 | 2,89 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.