KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Brak sanitizacji wartości ciasteczka w ProSolution WP Client pozwala na odczyt i usunięcie danych przez nieautoryzowanych użytkowników.
An overly-permissive IAM trust policy in the Harmonix on AWS framework may allow IAM principals in the same AWS account to escalate privileges via role assumption. The sample code for the EKS environment provisioning role is configured to trust the account root principal, which may enable any IAM…
Podatność w HiOS Switch Platform umożliwia zdalne wywołanie awarii urządzenia przez złośliwe żądania HTTP.
Błąd w ClearanceKit na macOS pozwala na obejście polityki dostępu do plików przez lokalne procesy.
Wykryta podatność XSS w Statamic umożliwia uwierzytelnionym użytkownikom wstrzyknięcie złośliwego JavaScriptu podczas przesyłania zasobów SVG.
The OTP Integration Kit for PingFederate fails to enforce HTTP method validation and state validation properly. The server advances the authentication state without verifying the OTP, thereby bypassing multi-factor authentication.
Luka w FreePBX pozwala na dodanie klucza SSH, co umożliwia zdalne wykonanie dowolnych poleceń.
Niewystarczająca walidacja wejścia w Amazon Bedrock umożliwia zdalne wykonanie narzędzi przez uwierzytelnionego użytkownika.
HeyForm is an open-source form builder. Prior to version 3.0.0-rc.9, `POST /api/upload` has no authentication guard, no global guard, no form-context validation, no `openToken` requirement, and no session cookie check. Any anonymous internet user can upload files (PDF, DOC/DOCX, XLS/XLSX, CSV,…
Błąd w ksmbd w jądrze Linux umożliwia tworzenie plików poza udostępnionym katalogiem.
Wstrzyknięcie SQL w baserCMS umożliwia atakującym dostęp do danych bazy.
The Ultimate Multisite WordPress plugin before 2.17.2 does not validate a user-supplied value used to select a file to include, allowing unauthenticated attackers to include and read arbitrary local files, including the WordPress configuration file.
Wazuh versions from 4.6.0 before 4.14.8 contain an authentication bypass vulnerability where security.update_user places the reserved user guard and password policy inside a falsy truthiness check. A delegated user administrator can send an empty password to the user update endpoint, bypassing the…
Wstrzyknięcie poleceń w Blueprint Studio pozwala na dostęp do danych konfiguracyjnych Home Assistant.
Improper validation of array index vulnerability in Velneo vServer. This issue affects vServer: from 36.0 before 36.6 and from 37.0 before 37.2.
Błąd w ZipHelper.extract w Outline pozwala na zapis plików poza katalogiem ekstrakcji.
Wykorzystanie podatności SSRF w duhow/xiaoai-patch pozwala na skanowanie sieci wewnętrznej.
LaraDashboard before 1.4.8 contains an improper privilege management vulnerability that allows authenticated Admin users to escalate to Superadmin by editing or renaming roles. Attackers with role.edit can rename their role to Superadmin or grant user.login_as permissions to take over accounts and…
Wielokrotne obejścia uwierzytelnienia w @better-auth/sso pozwalają na przejęcie konta użytkownika.
Podatność w pakiecie knowns umożliwia zdalne odczytywanie i modyfikowanie plików na serwerze.
Błąd w Grav Plugin API umożliwia eskalację uprawnień do konta superadministratora.
Wykorzystanie wewnętrznych modułów HTTP w vm2 pozwala na nieautoryzowane połączenia sieciowe.
Wykorzystanie po zwolnieniu pamięci w jądrze Windows umożliwia lokalne podniesienie uprawnień przez atakującego.
CAI Content Credentials is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. Exploitation of this issue does not require user interaction. Scope is changed.
ProjectSend 2.0.0 before 2.7.0 contains an incorrect authorization vulnerability that allows restricted API token holders to change the token owner's credentials via PATCH /api/v1/users/{user}. Attackers with a token limited to manage_users and edit_users can set a new owner password, clear…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Brak sanitizacji wartości ciasteczka w ProSolution WP Client pozwala na odczyt i usunięcie danych przez nieautoryzowanych użytkowników. | Brak sanitizacji wartości ciasteczka w ProSolution WP Client pozwala na odczyt i usunięcie danych przez nieautoryzowanych użytkowników. |
Obserwuj | 8,6 | 0,52 % | ||
| An overly-permissive IAM trust policy in the Harmonix on AWS framework may allow IAM principals in the same AWS account to escalate… | An overly-permissive IAM trust policy in the Harmonix on AWS framework may allow IAM principals in the same AWS account to escalate privileges via role assumption. The sample code for the EKS environment provisioning role is configured to trust the account root principal, which may enable any IAM… |
Obserwuj | 8,6 | 0,52 % | ||
| Podatność w HiOS Switch Platform umożliwia zdalne wywołanie awarii urządzenia przez złośliwe żądania HTTP. | Podatność w HiOS Switch Platform umożliwia zdalne wywołanie awarii urządzenia przez złośliwe żądania HTTP. |
Obserwuj | 8,6 | 0,51 % | ||
| Błąd w ClearanceKit na macOS pozwala na obejście polityki dostępu do plików przez lokalne procesy. | Błąd w ClearanceKit na macOS pozwala na obejście polityki dostępu do plików przez lokalne procesy. |
Obserwuj | 8,7 | 0,01 % | ||
| Wykryta podatność XSS w Statamic umożliwia uwierzytelnionym użytkownikom wstrzyknięcie złośliwego JavaScriptu podczas przesyłania zasobów… | Wykryta podatność XSS w Statamic umożliwia uwierzytelnionym użytkownikom wstrzyknięcie złośliwego JavaScriptu podczas przesyłania zasobów SVG. |
Obserwuj | 8,7 | 0,01 % | ||
| The OTP Integration Kit for PingFederate fails to enforce HTTP method validation and state validation properly. | The OTP Integration Kit for PingFederate fails to enforce HTTP method validation and state validation properly. The server advances the authentication state without verifying the OTP, thereby bypassing multi-factor authentication. |
Obserwuj | 8,6 | 0,51 % | ||
| Luka w FreePBX pozwala na dodanie klucza SSH, co umożliwia zdalne wykonanie dowolnych poleceń. | Luka w FreePBX pozwala na dodanie klucza SSH, co umożliwia zdalne wykonanie dowolnych poleceń. |
Obserwuj | 8,6 | 0,51 % | ||
| Niewystarczająca walidacja wejścia w Amazon Bedrock umożliwia zdalne wykonanie narzędzi przez uwierzytelnionego użytkownika. | Niewystarczająca walidacja wejścia w Amazon Bedrock umożliwia zdalne wykonanie narzędzi przez uwierzytelnionego użytkownika. |
Obserwuj | 8,6 | 0,51 % | ||
| HeyForm is an open-source form builder. | HeyForm is an open-source form builder. Prior to version 3.0.0-rc.9, `POST /api/upload` has no authentication guard, no global guard, no form-context validation, no `openToken` requirement, and no session cookie check. Any anonymous internet user can upload files (PDF, DOC/DOCX, XLS/XLSX, CSV,… |
Obserwuj | 8,6 | 0,51 % | ||
| Błąd w ksmbd w jądrze Linux umożliwia tworzenie plików poza udostępnionym katalogiem. | Błąd w ksmbd w jądrze Linux umożliwia tworzenie plików poza udostępnionym katalogiem. |
Obserwuj | 8,6 | 0,51 % | ||
| Wstrzyknięcie SQL w baserCMS umożliwia atakującym dostęp do danych bazy. | Wstrzyknięcie SQL w baserCMS umożliwia atakującym dostęp do danych bazy. |
Obserwuj | 8,6 | 0,5 % | ||
| The Ultimate Multisite WordPress plugin before 2.17.2 does not validate a user-supplied value used to select a file to include, allowing… | The Ultimate Multisite WordPress plugin before 2.17.2 does not validate a user-supplied value used to select a file to include, allowing unauthenticated attackers to include and read arbitrary local files, including the WordPress configuration file. |
Obserwuj | 8,6 | 0,5 % | ||
| Wazuh versions from 4.6.0 before 4.14.8 contain an authentication bypass vulnerability where security.update_user places the reserved user… | Wazuh versions from 4.6.0 before 4.14.8 contain an authentication bypass vulnerability where security.update_user places the reserved user guard and password policy inside a falsy truthiness check. A delegated user administrator can send an empty password to the user update endpoint, bypassing the… |
Obserwuj | 8,6 | 0,5 % | ||
| Wstrzyknięcie poleceń w Blueprint Studio pozwala na dostęp do danych konfiguracyjnych Home Assistant. | Wstrzyknięcie poleceń w Blueprint Studio pozwala na dostęp do danych konfiguracyjnych Home Assistant. |
Obserwuj | 8,6 | 0,5 % | ||
| Improper validation of array index vulnerability in Velneo vServer. | Improper validation of array index vulnerability in Velneo vServer. This issue affects vServer: from 36.0 before 36.6 and from 37.0 before 37.2. |
Obserwuj | 8,7 | Nieustalone | ||
| Błąd w ZipHelper.extract w Outline pozwala na zapis plików poza katalogiem ekstrakcji. | Błąd w ZipHelper.extract w Outline pozwala na zapis plików poza katalogiem ekstrakcji. |
Obserwuj | 8,7 | Nieustalone | ||
| Wykorzystanie podatności SSRF w duhow/xiaoai-patch pozwala na skanowanie sieci wewnętrznej. | Wykorzystanie podatności SSRF w duhow/xiaoai-patch pozwala na skanowanie sieci wewnętrznej. |
Obserwuj | 8,6 | 0,5 % | ||
| LaraDashboard before 1.4.8 contains an improper privilege management vulnerability that allows authenticated Admin users to escalate to… | LaraDashboard before 1.4.8 contains an improper privilege management vulnerability that allows authenticated Admin users to escalate to Superadmin by editing or renaming roles. Attackers with role.edit can rename their role to Superadmin or grant user.login_as permissions to take over accounts and… |
Obserwuj | 8,6 | 0,49 % | ||
| Wielokrotne obejścia uwierzytelnienia w @better-auth/sso pozwalają na przejęcie konta użytkownika. | Wielokrotne obejścia uwierzytelnienia w @better-auth/sso pozwalają na przejęcie konta użytkownika. |
Obserwuj | 8,6 | 0,49 % | ||
| Podatność w pakiecie knowns umożliwia zdalne odczytywanie i modyfikowanie plików na serwerze. | Podatność w pakiecie knowns umożliwia zdalne odczytywanie i modyfikowanie plików na serwerze. |
Obserwuj | 8,6 | 0,49 % | ||
| Błąd w Grav Plugin API umożliwia eskalację uprawnień do konta superadministratora. | Błąd w Grav Plugin API umożliwia eskalację uprawnień do konta superadministratora. |
Obserwuj | 8,6 | 0,49 % | ||
| Wykorzystanie wewnętrznych modułów HTTP w vm2 pozwala na nieautoryzowane połączenia sieciowe. | Wykorzystanie wewnętrznych modułów HTTP w vm2 pozwala na nieautoryzowane połączenia sieciowe. |
Obserwuj | 8,6 | 0,49 % | ||
| Wykorzystanie po zwolnieniu pamięci w jądrze Windows umożliwia lokalne podniesienie uprawnień przez atakującego. | Wykorzystanie po zwolnieniu pamięci w jądrze Windows umożliwia lokalne podniesienie uprawnień przez atakującego. |
Obserwuj | 7,8 | 4,49 % | ||
| CAI Content Credentials is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. | CAI Content Credentials is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. Exploitation of this issue does not require user interaction. Scope is changed. |
Obserwuj | 8,6 | 0,49 % | ||
| ProjectSend 2.0.0 before 2.7.0 contains an incorrect authorization vulnerability that allows restricted API token holders to change the… | ProjectSend 2.0.0 before 2.7.0 contains an incorrect authorization vulnerability that allows restricted API token holders to change the token owner's credentials via PATCH /api/v1/users/{user}. Attackers with a token limited to manage_users and edit_users can set a new owner password, clear… |
Obserwuj | 8,6 | 0,49 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.