KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Wykonanie kodu w środowisku dewelopera przez złośliwy JavaScript w Orval z powodu nieprawidłowego kodowania.
Błąd w Orval umożliwia wykonanie złośliwego kodu JavaScript przy generowaniu schematu zod.
Niebezpieczne generowanie URL w Orval umożliwia wykonanie złośliwego kodu w aplikacji.
Wstrzyknięcie kodu w Orval umożliwia zdalne wykonanie JavaScript w aplikacji.
OS Command Injection vulnerability in Ruijie X30-PRO X30-PRO-V1_09241521 allowing attackers to execute arbitrary commands via a crafted POST request to the setWisp in file /usr/lib/lua/luci/modules/wireless.lua.
Nieograniczony upload niebezpiecznych plików w SUNNET umożliwia zdalne wykonanie kodu przez administratorów.
Błąd w Traefik umożliwia ominięcie uwierzytelnienia i zastosowanie middleware w złośliwy sposób.
W Ninja Tables Pro występuje luka umożliwiająca zdalne wykonanie kodu przez złośliwy plugin.
Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z odpowiednimi uprawnieniami wykonanie dowolnych komend jako root na serwerach.
A security vulnerability has been detected in Totolink A3002MU 1.0.0-B20230403.1455. This affects an unknown function of the file /boafrm/formIpQoS of the component QoS Rule Handler. The manipulation of the argument addQos/comment/entry_name leads to stack-based buffer overflow. Remote…
Travel Agency Management System developed by Win Men Intermational has a SQL Injection vulnerability. Unauthenticated remote attackers can inject arbitrary SQL commands to read, modify, and delete database contents.
A code injection vulnerability exists in the upgrade script of Movable Type, which may allow an unauthenticated attacker to execute an arbitrary Perl script or an SQL query on the affected product.
DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies on a mock get_user_from_headers function that grants every caller the admin role. Unauthenticated attackers can send prompts that make the ReAct agent's…
MaxKey contains an unauthorized access vulnerability due to a hard-coded JWT signing secret in application-maxkey.properties that allows unauthenticated attackers to forge valid JWT tokens and authenticate as any user by exploiting the password-skipped login endpoint. Attackers can craft a JWT…
Brak uwierzytelnienia w 9Router umożliwia zdalne ujawnienie kluczy API.
phpIPAM before 1.8.2 contains an authentication bypass vulnerability in the REST API that allows unauthenticated attackers to gain full API access by exploiting an insecure object cache keying mechanism. The cache is keyed by lookup value alone without including the searched column, enabling an…
OS Command Injection vulnerability in Ruijie RG-BCR RG-BCR600W allowing attackers to execute arbitrary commands via a crafted POST request to the get_wanobj in file /usr/lib/lua/luci/controller/admin/common.lua.
justhtml versions <= 1.11.0 (fixed in 1.12.0) do not sufficiently escape HTML-significant characters (angle brackets) in text nodes when converting a parsed document to Markdown via to_markdown(). While a small set of Markdown metacharacters are escaped, characters such as < and > are preserved,…
Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary code by sending crafted data over the actor-pool TCP channel. Attackers can exploit SocketChannel.recv() passing unvalidated data to cloudpickle.loads(), which…
Deserializacja niezaufanych danych w Adobe Connect umożliwia zdalne wykonanie kodu.
Błąd w modelu uprawnień Node.js pozwala na obejście ograniczeń dostępu do plików.
The Iskra iHUB and iHUB Lite smart metering gateway exposes its web management interface without requiring authentication, allowing unauthenticated users to access and modify critical device settings.
A service console interface on openPDC and openHistorian deserializes a client-supplied data structure. On systems using Windows Authentication, an attacker must already be authenticated to reach this function; on systems without Windows Authentication, this is reachable by an unauthenticated…
A vulnerability could allow an attacker to forge a packet to execute arbitrary commands with maximum privileges.
Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z uprawnieniami do zarządzania aplikacjami wykonanie dowolnych poleceń jako root na serwerach.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Wykonanie kodu w środowisku dewelopera przez złośliwy JavaScript w Orval z powodu nieprawidłowego kodowania. | Wykonanie kodu w środowisku dewelopera przez złośliwy JavaScript w Orval z powodu nieprawidłowego kodowania. |
W tym tygodniu | 9,3 | 0,65 % | ||
| Błąd w Orval umożliwia wykonanie złośliwego kodu JavaScript przy generowaniu schematu zod. | Błąd w Orval umożliwia wykonanie złośliwego kodu JavaScript przy generowaniu schematu zod. |
W tym tygodniu | 9,3 | 0,65 % | ||
| Niebezpieczne generowanie URL w Orval umożliwia wykonanie złośliwego kodu w aplikacji. | Niebezpieczne generowanie URL w Orval umożliwia wykonanie złośliwego kodu w aplikacji. |
W tym tygodniu | 9,3 | 0,65 % | ||
| Wstrzyknięcie kodu w Orval umożliwia zdalne wykonanie JavaScript w aplikacji. | Wstrzyknięcie kodu w Orval umożliwia zdalne wykonanie JavaScript w aplikacji. |
W tym tygodniu | 9,3 | 0,65 % | ||
| OS Command Injection vulnerability in Ruijie X30-PRO X30-PRO-V1_09241521 allowing attackers to execute arbitrary commands via a crafted… | OS Command Injection vulnerability in Ruijie X30-PRO X30-PRO-V1_09241521 allowing attackers to execute arbitrary commands via a crafted POST request to the setWisp in file /usr/lib/lua/luci/modules/wireless.lua. |
W tym tygodniu | 8,8 | 3,15 % | ||
| Nieograniczony upload niebezpiecznych plików w SUNNET umożliwia zdalne wykonanie kodu przez administratorów. | Nieograniczony upload niebezpiecznych plików w SUNNET umożliwia zdalne wykonanie kodu przez administratorów. |
W tym tygodniu | 9,3 | 0,65 % | ||
| Błąd w Traefik umożliwia ominięcie uwierzytelnienia i zastosowanie middleware w złośliwy sposób. | Błąd w Traefik umożliwia ominięcie uwierzytelnienia i zastosowanie middleware w złośliwy sposób. |
W tym tygodniu | 9,3 | 0,65 % | ||
| W Ninja Tables Pro występuje luka umożliwiająca zdalne wykonanie kodu przez złośliwy plugin. | W Ninja Tables Pro występuje luka umożliwiająca zdalne wykonanie kodu przez złośliwy plugin. |
W tym tygodniu | 9,3 | 0,65 % | ||
| Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z odpowiednimi uprawnieniami wykonanie dowolnych komend jako root na serwerach. | Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z odpowiednimi uprawnieniami wykonanie dowolnych komend jako root na serwerach. |
W tym tygodniu | 8,8 | 3,15 % | ||
| A security vulnerability has been detected in Totolink A3002MU 1.0.0-B20230403.1455. | A security vulnerability has been detected in Totolink A3002MU 1.0.0-B20230403.1455. This affects an unknown function of the file /boafrm/formIpQoS of the component QoS Rule Handler. The manipulation of the argument addQos/comment/entry_name leads to stack-based buffer overflow. Remote… |
W tym tygodniu | 9,3 | 0,64 % | ||
| Travel Agency Management System developed by Win Men Intermational has a SQL Injection vulnerability. | Travel Agency Management System developed by Win Men Intermational has a SQL Injection vulnerability. Unauthenticated remote attackers can inject arbitrary SQL commands to read, modify, and delete database contents. |
W tym tygodniu | 9,3 | 0,64 % | ||
| A code injection vulnerability exists in the upgrade script of Movable Type, which may allow an unauthenticated attacker to execute an… | A code injection vulnerability exists in the upgrade script of Movable Type, which may allow an unauthenticated attacker to execute an arbitrary Perl script or an SQL query on the affected product. |
W tym tygodniu | 9,3 | 0,64 % | ||
| DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies… | DB-GPT through 0.8.2 contains an unauthenticated remote code execution vulnerability because the /api/v1/chat/react-agent endpoint relies on a mock get_user_from_headers function that grants every caller the admin role. Unauthenticated attackers can send prompts that make the ReAct agent's… |
W tym tygodniu | 9,3 | 0,64 % | ||
| MaxKey contains an unauthorized access vulnerability due to a hard-coded JWT signing secret in application-maxkey.properties that allows… | MaxKey contains an unauthorized access vulnerability due to a hard-coded JWT signing secret in application-maxkey.properties that allows unauthenticated attackers to forge valid JWT tokens and authenticate as any user by exploiting the password-skipped login endpoint. Attackers can craft a JWT… |
W tym tygodniu | 9,3 | 0,64 % | ||
| Brak uwierzytelnienia w 9Router umożliwia zdalne ujawnienie kluczy API. | Brak uwierzytelnienia w 9Router umożliwia zdalne ujawnienie kluczy API. |
W tym tygodniu | 9,3 | 0,64 % | ||
| phpIPAM before 1.8.2 contains an authentication bypass vulnerability in the REST API that allows unauthenticated attackers to gain full… | phpIPAM before 1.8.2 contains an authentication bypass vulnerability in the REST API that allows unauthenticated attackers to gain full API access by exploiting an insecure object cache keying mechanism. The cache is keyed by lookup value alone without including the searched column, enabling an… |
W tym tygodniu | 9,3 | 0,64 % | ||
| OS Command Injection vulnerability in Ruijie RG-BCR RG-BCR600W allowing attackers to execute arbitrary commands via a crafted POST request… | OS Command Injection vulnerability in Ruijie RG-BCR RG-BCR600W allowing attackers to execute arbitrary commands via a crafted POST request to the get_wanobj in file /usr/lib/lua/luci/controller/admin/common.lua. |
W tym tygodniu | 8,8 | 3,14 % | ||
| justhtml versions <= 1.11.0 (fixed in 1.12.0) do not sufficiently escape HTML-significant characters (angle brackets) in text nodes when… | justhtml versions <= 1.11.0 (fixed in 1.12.0) do not sufficiently escape HTML-significant characters (angle brackets) in text nodes when converting a parsed document to Markdown via to_markdown(). While a small set of Markdown metacharacters are escaped, characters such as < and > are preserved,… |
W tym tygodniu | 9,3 | 0,64 % | ||
| Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary… | Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary code by sending crafted data over the actor-pool TCP channel. Attackers can exploit SocketChannel.recv() passing unvalidated data to cloudpickle.loads(), which… |
W tym tygodniu | 9,3 | 0,63 % | ||
| Deserializacja niezaufanych danych w Adobe Connect umożliwia zdalne wykonanie kodu. | Deserializacja niezaufanych danych w Adobe Connect umożliwia zdalne wykonanie kodu. |
W tym tygodniu | 9,3 | 0,63 % | ||
| Błąd w modelu uprawnień Node.js pozwala na obejście ograniczeń dostępu do plików. | Błąd w modelu uprawnień Node.js pozwala na obejście ograniczeń dostępu do plików. |
W tym tygodniu | 9,1 | 1,63 % | ||
| The Iskra iHUB and iHUB Lite smart metering gateway exposes its web management interface without requiring authentication, allowing… | The Iskra iHUB and iHUB Lite smart metering gateway exposes its web management interface without requiring authentication, allowing unauthenticated users to access and modify critical device settings. |
W tym tygodniu | 9,3 | 0,63 % | ||
| A service console interface on openPDC and openHistorian deserializes a client-supplied data structure. | A service console interface on openPDC and openHistorian deserializes a client-supplied data structure. On systems using Windows Authentication, an attacker must already be authenticated to reach this function; on systems without Windows Authentication, this is reachable by an unauthenticated… |
W tym tygodniu | 9,3 | 0,63 % | ||
| A vulnerability could allow an attacker to forge a packet to execute arbitrary commands with maximum privileges. | A vulnerability could allow an attacker to forge a packet to execute arbitrary commands with maximum privileges. |
W tym tygodniu | 9,3 | 0,62 % | ||
| Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z uprawnieniami do zarządzania aplikacjami wykonanie dowolnych poleceń jako root na… | Wstrzyknięcie poleceń w Coolify umożliwia użytkownikom z uprawnieniami do zarządzania aplikacjami wykonanie dowolnych poleceń jako root na serwerach. |
W tym tygodniu | 8,8 | 3,12 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.