KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Wstrzyknięcie SQL w module haseł Xpoda umożliwia nieautoryzowany dostęp do bazy danych.
Wstrzyknięcie SQL w systemie DIGITA Efficiency Management umożliwia nieautoryzowany dostęp do danych.
Wbudowany klucz kryptograficzny w Salesforce Marketing Cloud umożliwia manipulację protokołem usług webowych.
Błędy bezpieczeństwa pamięci w Firefox i Thunderbird umożliwiają zdalne wykonanie kodu.
A command injection vulnerability in the Active Directory Events Listener of Tenable Identity Exposure (SaaS) allows an authenticated, low-privileged attacker to execute arbitrary commands as SYSTEM on the PDCe.
Błąd w Crypt::OpenSSL::PKCS12 umożliwia utratę części haseł z powodu NULLi.
Wstrzyknięcie SQL w Pandora FMS umożliwia atakującemu manipulację danymi.
Wstrzyknięcie SQL w pgx umożliwia atakującemu manipulację zapytaniami.
Wstrzyknięcie SQL w ChestnutCMS umożliwia manipulację zapytaniami w panelu administracyjnym.
Przepełnienie bufora w sterowniku Wi-Fi Exynos umożliwia zdalne wykonanie kodu.
Błąd use-after-free w kernelu Linux w ksmbd może prowadzić do nieautoryzowanego dostępu.
Błąd w SAMtools może prowadzić do wycieku informacji o stanie programu lub awarii przez dostęp do nieprawidłowej pamięci.
Wstrzyknięcie SQL w Delta Course Automation umożliwia nieautoryzowany dostęp do bazy danych.
Nieprawidłowe ograniczenie odniesienia XML w Adobe Experience Manager umożliwia zdalne wykonanie kodu.
Letta through 0.16.8 ships a compose.yaml that does not enable LETTA_SERVER_SECURE, so the password middleware is never added and all API routes are unauthenticated, and it exposes a superuser PostgreSQL port with default credentials. Remote attackers can execute arbitrary Python via POST…
Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the…
DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies on a mock get_user_from_headers function that grants every caller the admin role. Unauthenticated attackers can send prompts that make the ReAct agent's…
DB-GPT through 0.8.2 contains a hardcoded credentials vulnerability in its default docker-compose.yml that sets a static MYSQL_ROOT_PASSWORD and publishes port 3306 on all interfaces. Attackers reaching port 3306 or the shared dbgptnet network can authenticate as root@% to gain full database…
piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat agent, whose POST /chat and POST /chat/stream endpoints lack authentication. Attackers can instruct the agent to call the exec_shell tool, which runs arbitrary commands via subprocess.run without human…
Grav API plugin (grav-plugin-api) 1.0.40 before 1.0.42 caches a full translation dictionary for every well-formed language code sent to the unauthenticated GET /api/v1/translations/{lang} endpoint, and 1.0.16 before 1.0.42 fails to check target and destination page rules in the sync and batch copy…
Craft CMS from 5.0.0 before 5.11.0 contains an authorization bypass vulnerability that allows site-scoped GraphQL tokens to mutate other sites' content because requireAllowedSite() is not enforced. Attackers holding a site-A token can create entries in site B via supplied siteId and delete…
Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to local execution and shipping no authentication on its REST/SSE API. Attackers can create a session via POST /sessions and post a message via POST…
Rank Math SEO PRO for WordPress is affected by a supply-chain compromise in a subset of version 3.0.123 packages downloaded or updated between October 15, 2026 at 20:02 UTC and October 16, 2026 at 07:12 UTC. Rank Math states that the affected plugin files contained malware that could compromise a…
SENAYAN Library Management System (SLiMS) Bulian (slims9_bulian) 9.8.0 is vulnerable to SQL Injection in admin/modules/reporting/customs/dl_detail.php via the parameter fileID.
Mercury is a Python framework for sharing Jupyter notebooks as web applications and dashboards. Prior to 3.2.6, default tokenless deployments allow anonymous clients to create Jupyter kernels and send execute_request messages containing arbitrary Python. The endpoint blocklist does not cover…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Wstrzyknięcie SQL w module haseł Xpoda umożliwia nieautoryzowany dostęp do bazy danych. | Wstrzyknięcie SQL w module haseł Xpoda umożliwia nieautoryzowany dostęp do bazy danych. |
W tym tygodniu | 9,8 | 0,02 % | ||
| Wstrzyknięcie SQL w systemie DIGITA Efficiency Management umożliwia nieautoryzowany dostęp do danych. | Wstrzyknięcie SQL w systemie DIGITA Efficiency Management umożliwia nieautoryzowany dostęp do danych. |
W tym tygodniu | 9,8 | 0,02 % | ||
| Wbudowany klucz kryptograficzny w Salesforce Marketing Cloud umożliwia manipulację protokołem usług webowych. | Wbudowany klucz kryptograficzny w Salesforce Marketing Cloud umożliwia manipulację protokołem usług webowych. |
W tym tygodniu | 9,8 | 0,02 % | ||
| Błędy bezpieczeństwa pamięci w Firefox i Thunderbird umożliwiają zdalne wykonanie kodu. | Błędy bezpieczeństwa pamięci w Firefox i Thunderbird umożliwiają zdalne wykonanie kodu. |
W tym tygodniu | 9,8 | 0,02 % | ||
| A command injection vulnerability in the Active Directory Events Listener of Tenable Identity Exposure (SaaS) allows an authenticated,… | A command injection vulnerability in the Active Directory Events Listener of Tenable Identity Exposure (SaaS) allows an authenticated, low-privileged attacker to execute arbitrary commands as SYSTEM on the PDCe. |
W tym tygodniu | 9,4 | 2,02 % | ||
| Błąd w Crypt::OpenSSL::PKCS12 umożliwia utratę części haseł z powodu NULLi. | Błąd w Crypt::OpenSSL::PKCS12 umożliwia utratę części haseł z powodu NULLi. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Wstrzyknięcie SQL w Pandora FMS umożliwia atakującemu manipulację danymi. | Wstrzyknięcie SQL w Pandora FMS umożliwia atakującemu manipulację danymi. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Wstrzyknięcie SQL w pgx umożliwia atakującemu manipulację zapytaniami. | Wstrzyknięcie SQL w pgx umożliwia atakującemu manipulację zapytaniami. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Wstrzyknięcie SQL w ChestnutCMS umożliwia manipulację zapytaniami w panelu administracyjnym. | Wstrzyknięcie SQL w ChestnutCMS umożliwia manipulację zapytaniami w panelu administracyjnym. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Przepełnienie bufora w sterowniku Wi-Fi Exynos umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w sterowniku Wi-Fi Exynos umożliwia zdalne wykonanie kodu. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Błąd use-after-free w kernelu Linux w ksmbd może prowadzić do nieautoryzowanego dostępu. | Błąd use-after-free w kernelu Linux w ksmbd może prowadzić do nieautoryzowanego dostępu. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Błąd w SAMtools może prowadzić do wycieku informacji o stanie programu lub awarii przez dostęp do nieprawidłowej pamięci. | Błąd w SAMtools może prowadzić do wycieku informacji o stanie programu lub awarii przez dostęp do nieprawidłowej pamięci. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Wstrzyknięcie SQL w Delta Course Automation umożliwia nieautoryzowany dostęp do bazy danych. | Wstrzyknięcie SQL w Delta Course Automation umożliwia nieautoryzowany dostęp do bazy danych. |
W tym tygodniu | 9,8 | 0,01 % | ||
| Nieprawidłowe ograniczenie odniesienia XML w Adobe Experience Manager umożliwia zdalne wykonanie kodu. | Nieprawidłowe ograniczenie odniesienia XML w Adobe Experience Manager umożliwia zdalne wykonanie kodu. |
W tym tygodniu | 9,6 | 1 % | ||
| Letta through 0.16.8 ships a compose.yaml that does not enable LETTA_SERVER_SECURE, so the password middleware is never added and all API… | Letta through 0.16.8 ships a compose.yaml that does not enable LETTA_SERVER_SECURE, so the password middleware is never added and all API routes are unauthenticated, and it exposes a superuser PostgreSQL port with default credentials. Remote attackers can execute arbitrary Python via POST… |
W tym tygodniu | 9,8 | Nieustalone | ||
| Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without… | Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the… |
W tym tygodniu | 9,8 | Nieustalone | ||
| DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies… | DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies on a mock get_user_from_headers function that grants every caller the admin role. Unauthenticated attackers can send prompts that make the ReAct agent's… |
W tym tygodniu | 9,8 | Nieustalone | ||
| DB-GPT through 0.8.2 contains a hardcoded credentials vulnerability in its default docker-compose.yml that sets a static… | DB-GPT through 0.8.2 contains a hardcoded credentials vulnerability in its default docker-compose.yml that sets a static MYSQL_ROOT_PASSWORD and publishes port 3306 on all interfaces. Attackers reaching port 3306 or the shared dbgptnet network can authenticate as root@% to gain full database… |
W tym tygodniu | 9,8 | Nieustalone | ||
| piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat agent, whose POST /chat and POST… | piflow 2.0.0 through 2.0.1 contains a remote code execution vulnerability in its DeepAgents chat agent, whose POST /chat and POST /chat/stream endpoints lack authentication. Attackers can instruct the agent to call the exec_shell tool, which runs arbitrary commands via subprocess.run without human… |
W tym tygodniu | 9,8 | Nieustalone | ||
| Grav API plugin (grav-plugin-api) 1.0.40 before 1.0.42 caches a full translation dictionary for every well-formed language code sent to… | Grav API plugin (grav-plugin-api) 1.0.40 before 1.0.42 caches a full translation dictionary for every well-formed language code sent to the unauthenticated GET /api/v1/translations/{lang} endpoint, and 1.0.16 before 1.0.42 fails to check target and destination page rules in the sync and batch copy… |
W tym tygodniu | 9,8 | Nieustalone | ||
| Craft CMS from 5.0.0 before 5.11.0 contains an authorization bypass vulnerability that allows site-scoped GraphQL tokens to mutate other… | Craft CMS from 5.0.0 before 5.11.0 contains an authorization bypass vulnerability that allows site-scoped GraphQL tokens to mutate other sites' content because requireAllowedSite() is not enforced. Attackers holding a site-A token can create entries in site B via supplied siteId and delete… |
W tym tygodniu | 9,8 | Nieustalone | ||
| Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to… | Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to local execution and shipping no authentication on its REST/SSE API. Attackers can create a session via POST /sessions and post a message via POST… |
W tym tygodniu | 9,8 | Nieustalone | ||
| Rank Math SEO PRO for WordPress is affected by a supply-chain compromise in a subset of version 3.0.123 packages downloaded or updated… | Rank Math SEO PRO for WordPress is affected by a supply-chain compromise in a subset of version 3.0.123 packages downloaded or updated between October 15, 2026 at 20:02 UTC and October 16, 2026 at 07:12 UTC. Rank Math states that the affected plugin files contained malware that could compromise a… |
W tym tygodniu | 9,8 | Nieustalone | ||
| SENAYAN Library Management System (SLiMS) Bulian (slims9_bulian) 9.8.0 is vulnerable to SQL Injection in admin/modules/reporting/customs/dl… | SENAYAN Library Management System (SLiMS) Bulian (slims9_bulian) 9.8.0 is vulnerable to SQL Injection in admin/modules/reporting/customs/dl_detail.php via the parameter fileID. |
W tym tygodniu | 9,8 | Nieustalone | ||
| Mercury is a Python framework for sharing Jupyter notebooks as web applications and dashboards. | Mercury is a Python framework for sharing Jupyter notebooks as web applications and dashboards. Prior to 3.2.6, default tokenless deployments allow anonymous clients to create Jupyter kernels and send execute_request messages containing arbitrary Python. The endpoint blocklist does not cover… |
W tym tygodniu | 9,8 | Nieustalone |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.