KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
An issue in AWS Wrappers for Amazon Aurora PostgreSQL may allow for privilege escalation to rds_superuser role. A low privilege authenticated user can create a crafted function that could be executed with permissions of other Amazon Relational Database Service (RDS) users. We recommend customers…
DataEase is an open source data visualization and analysis tool. Authenticated users with datasource access can supply crafted schema names, connection usernames, table names, or database names to datasource metadata operations, including getSchema, validate, save, and update flows.…
Luka XSS w AVideo pozwala administratorom na wstrzyknięcie złośliwych skryptów.
W AVideo występuje podatność XSS, umożliwiająca atakującym wykonanie działań administracyjnych.
Nieprawidłowe oczyszczanie danych w GitLab umożliwia wykonanie skryptów w sesji innego użytkownika.
Brak sanitizacji nazwy pliku w nanobot umożliwia atakującym zapisanie plików w dowolnym miejscu.
GitPython before 3.2.0 contains a regular expression denial of service vulnerability in the _re_actor_epoch pattern used by parse_actor_and_date on author, committer, and tagger lines. Attackers can serve repositories with commit or tag objects containing long space-filled lines lacking a valid…
league/commonmark versions before 2.6.0 contain polynomial time complexity vulnerabilities in Markdown parsing that allow attackers to cause denial of service. Attackers can submit carefully crafted Markdown inputs designed to trigger worst-case performance, and sending multiple requests in…
Nieprawidłowa walidacja podpisów kryptograficznych w Pega Platform umożliwia obejście zabezpieczeń.
phpMyFAQ before 4.1.9 and 4.2.0-alpha before 4.2.0-beta does not require the current password when changing an account e-mail in the user control panel (UserController::updateData, api/user/data/update), checking only the session and CSRF token. An attacker with a hijacked session can set the…
Multiple Kasa devices contain an improper authentication vulnerability in the local device-management protocol. An unauthenticated adjacent attacker may send management instructions to an affected device without adequate authentication or authorization, allowing modification of the device state or…
A NULL pointer dereference vulnerability in the logs management functionality could allow an unauthenticated attacker to crash the service.
SmarterMail before build 9777 contains a privilege escalation vulnerability where JWT access and refresh tokens embed a role claim at issuance that is not revalidated against the account's current role when redeemed through POST /api/v1/auth/refresh-token. Attackers who capture a refresh token…
Błąd projektowy w eGovFramework umożliwia nieautoryzowany dostęp do plików przez szyfrowane parametry.
Słaba metoda derivacji klucza w OpenSSL umożliwia szybkie łamanie haseł do plików.
openssl_encrypt versions before 1.4.9 store an unkeyed SHA-256 hash of the plaintext in the cleartext file header metadata. Attackers can read this hash without the password to confirm guessed plaintexts offline or fingerprint identical plaintexts across separately-encrypted files.
Błąd w openssl_encrypt umożliwia atakującym odgadnięcie haseł użytkowników.
openssl_encrypt versions before 1.4.9 fail to validate server URLs in login and register_with_email functions, accepting unencrypted http:// URLs and unconfigured hosts. Attackers on the network path can intercept cleartext credentials including client_id, passwords, and JWTs to achieve full…
Słaba konstrukcja PBKDF2 w OpenSSL umożliwia efektywniejsze łamanie haseł w starych plikach.
Use of Hard-Coded Credentials issue exists in MZK-DP300N version 1.07 and earlier, which may allow an attacker within the local network to log in to the affected device via Telnet and execute arbitrary commands.
Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to…
Wykorzystanie podatności w SiYuan pozwala na usunięcie plików poza katalogiem roboczym.
Ucieczka z piaskownicy w Firefoxie i Thunderbirdzie umożliwia zdalne wykonanie kodu.
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to execute arbitrary JavaScript in the context of other users' browser sessions via a…
Wykonanie zdalnego kodu w PraisonAI umożliwia atakującym uruchamianie dowolnych skryptów.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| An issue in AWS Wrappers for Amazon Aurora PostgreSQL may allow for privilege escalation to rds_superuser role. | An issue in AWS Wrappers for Amazon Aurora PostgreSQL may allow for privilege escalation to rds_superuser role. A low privilege authenticated user can create a crafted function that could be executed with permissions of other Amazon Relational Database Service (RDS) users. We recommend customers… |
Obserwuj | 8,6 | 0,78 % | ||
| DataEase is an open source data visualization and analysis tool. | DataEase is an open source data visualization and analysis tool. Authenticated users with datasource access can supply crafted schema names, connection usernames, table names, or database names to datasource metadata operations, including getSchema, validate, save, and update flows.… |
Obserwuj | 8,7 | 0,28 % | ||
| Luka XSS w AVideo pozwala administratorom na wstrzyknięcie złośliwych skryptów. | Luka XSS w AVideo pozwala administratorom na wstrzyknięcie złośliwych skryptów. |
Obserwuj | 8,7 | 0,28 % | ||
| W AVideo występuje podatność XSS, umożliwiająca atakującym wykonanie działań administracyjnych. | W AVideo występuje podatność XSS, umożliwiająca atakującym wykonanie działań administracyjnych. |
Obserwuj | 8,7 | 0,28 % | ||
| Nieprawidłowe oczyszczanie danych w GitLab umożliwia wykonanie skryptów w sesji innego użytkownika. | Nieprawidłowe oczyszczanie danych w GitLab umożliwia wykonanie skryptów w sesji innego użytkownika. |
Obserwuj | 8,7 | 0,28 % | ||
| Brak sanitizacji nazwy pliku w nanobot umożliwia atakującym zapisanie plików w dowolnym miejscu. | Brak sanitizacji nazwy pliku w nanobot umożliwia atakującym zapisanie plików w dowolnym miejscu. |
Obserwuj | 8,7 | 0,28 % | ||
| GitPython before 3.2.0 contains a regular expression denial of service vulnerability in the _re_actor_epoch pattern used by… | GitPython before 3.2.0 contains a regular expression denial of service vulnerability in the _re_actor_epoch pattern used by parse_actor_and_date on author, committer, and tagger lines. Attackers can serve repositories with commit or tag objects containing long space-filled lines lacking a valid… |
Obserwuj | 8,7 | 0,28 % | ||
| league/commonmark versions before 2.6.0 contain polynomial time complexity vulnerabilities in Markdown parsing that allow attackers to… | league/commonmark versions before 2.6.0 contain polynomial time complexity vulnerabilities in Markdown parsing that allow attackers to cause denial of service. Attackers can submit carefully crafted Markdown inputs designed to trigger worst-case performance, and sending multiple requests in… |
Obserwuj | 8,7 | 0,28 % | ||
| Nieprawidłowa walidacja podpisów kryptograficznych w Pega Platform umożliwia obejście zabezpieczeń. | Nieprawidłowa walidacja podpisów kryptograficznych w Pega Platform umożliwia obejście zabezpieczeń. |
Obserwuj | 8,6 | 0,78 % | ||
| phpMyFAQ before 4.1.9 and 4.2.0-alpha before 4.2.0-beta does not require the current password when changing an account e-mail in the user… | phpMyFAQ before 4.1.9 and 4.2.0-alpha before 4.2.0-beta does not require the current password when changing an account e-mail in the user control panel (UserController::updateData, api/user/data/update), checking only the session and CSRF token. An attacker with a hijacked session can set the… |
Obserwuj | 8,7 | 0,27 % | ||
| Multiple Kasa devices contain an improper authentication vulnerability in the local device-management protocol. An unauthenticated… | Multiple Kasa devices contain an improper authentication vulnerability in the local device-management protocol. An unauthenticated adjacent attacker may send management instructions to an affected device without adequate authentication or authorization, allowing modification of the device state or… |
Obserwuj | 8,7 | 0,27 % | ||
| A NULL pointer dereference vulnerability in the logs management functionality could allow an unauthenticated attacker to crash the service. | A NULL pointer dereference vulnerability in the logs management functionality could allow an unauthenticated attacker to crash the service. |
Obserwuj | 8,7 | 0,27 % | ||
| SmarterMail before build 9777 contains a privilege escalation vulnerability where JWT access and refresh tokens embed a role claim at… | SmarterMail before build 9777 contains a privilege escalation vulnerability where JWT access and refresh tokens embed a role claim at issuance that is not revalidated against the account's current role when redeemed through POST /api/v1/auth/refresh-token. Attackers who capture a refresh token… |
Obserwuj | 8,7 | 0,27 % | ||
| Błąd projektowy w eGovFramework umożliwia nieautoryzowany dostęp do plików przez szyfrowane parametry. | Błąd projektowy w eGovFramework umożliwia nieautoryzowany dostęp do plików przez szyfrowane parametry. |
Obserwuj | 8,7 | 0,27 % | ||
| Słaba metoda derivacji klucza w OpenSSL umożliwia szybkie łamanie haseł do plików. | Słaba metoda derivacji klucza w OpenSSL umożliwia szybkie łamanie haseł do plików. |
Obserwuj | 8,7 | 0,27 % | ||
| openssl_encrypt versions before 1.4.9 store an unkeyed SHA-256 hash of the plaintext in the cleartext file header metadata. | openssl_encrypt versions before 1.4.9 store an unkeyed SHA-256 hash of the plaintext in the cleartext file header metadata. Attackers can read this hash without the password to confirm guessed plaintexts offline or fingerprint identical plaintexts across separately-encrypted files. |
Obserwuj | 8,7 | 0,27 % | ||
| Błąd w openssl_encrypt umożliwia atakującym odgadnięcie haseł użytkowników. | Błąd w openssl_encrypt umożliwia atakującym odgadnięcie haseł użytkowników. |
Obserwuj | 8,7 | 0,27 % | ||
| openssl_encrypt versions before 1.4.9 fail to validate server URLs in login and register_with_email functions, accepting unencrypted… | openssl_encrypt versions before 1.4.9 fail to validate server URLs in login and register_with_email functions, accepting unencrypted http:// URLs and unconfigured hosts. Attackers on the network path can intercept cleartext credentials including client_id, passwords, and JWTs to achieve full… |
Obserwuj | 8,7 | 0,27 % | ||
| Słaba konstrukcja PBKDF2 w OpenSSL umożliwia efektywniejsze łamanie haseł w starych plikach. | Słaba konstrukcja PBKDF2 w OpenSSL umożliwia efektywniejsze łamanie haseł w starych plikach. |
Obserwuj | 8,7 | 0,27 % | ||
| Use of Hard-Coded Credentials issue exists in MZK-DP300N version 1.07 and earlier, which may allow an attacker within the local network to… | Use of Hard-Coded Credentials issue exists in MZK-DP300N version 1.07 and earlier, which may allow an attacker within the local network to log in to the affected device via Telnet and execute arbitrary commands. |
Obserwuj | 8,7 | 0,27 % | ||
| Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with… | Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to… |
Obserwuj | 8,7 | 0,27 % | ||
| Wykorzystanie podatności w SiYuan pozwala na usunięcie plików poza katalogiem roboczym. | Wykorzystanie podatności w SiYuan pozwala na usunięcie plików poza katalogiem roboczym. |
Obserwuj | 8,7 | 0,27 % | ||
| Ucieczka z piaskownicy w Firefoxie i Thunderbirdzie umożliwia zdalne wykonanie kodu. | Ucieczka z piaskownicy w Firefoxie i Thunderbirdzie umożliwia zdalne wykonanie kodu. |
Obserwuj | 8,6 | 0,77 % | ||
| GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2… | GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to execute arbitrary JavaScript in the context of other users' browser sessions via a… |
Obserwuj | 8,7 | 0,27 % | ||
| Wykonanie zdalnego kodu w PraisonAI umożliwia atakującym uruchamianie dowolnych skryptów. | Wykonanie zdalnego kodu w PraisonAI umożliwia atakującym uruchamianie dowolnych skryptów. |
Obserwuj | 8,6 | 0,77 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.