KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Nieprawidłowe neutralizowanie elementów w Plesk pozwala zdalnym użytkownikom na ujawnienie plików i eskalację uprawnień.
Luka w ProSolution WP Client umożliwia nieautoryzowane przesyłanie plików i zdalne wykonanie kodu.
Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote…
Nieprawidłowa neutralizacja w konfiguracji instancji NVIDIA w LXD pozwala na wstrzyknięcie dowolnych dyrektyw.
Brak uwierzytelnienia w 9Router umożliwia nieautoryzowany eksport i import bazy danych.
Wstrzyknięcie XPath w Plesk umożliwia eskalację uprawnień przez wykonanie poleceń systemowych.
W Dockwatch 0.6.567 występuje podatność na wstrzyknięcie poleceń, umożliwiająca zdalne wykonanie dowolnych komend.
Wykonanie poleceń powłoki na serwerze MariaDB z włączonym REST pozwala na zdalne ataki.
Wykorzystanie funkcji inspect w vm2 umożliwia atakującym ucieczkę z piaskownicy i wykonanie dowolnych poleceń.
Przepełnienie bufora w GV-VMS umożliwia zdalne wykonanie kodu jako SYSTEM.
Błąd w multicloud-operators-subscription pozwala na eskalację uprawnień w klastrze.
Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień.
IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious and unauthorized actions transmitted from a user that the website trusts.
Obejście zabezpieczeń w SandboxJS pozwala na modyfikację globalnych obiektów w JavaScript.
Wykonanie kodu w API XMLRPC w Netgate pfSense CE 2.8.0 może prowadzić do nieautoryzowanego dostępu.
MariaDB server is a community developed fork of MySQL server. From 10.6.1 until 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, and 13.0.2, the #mysql50# bypass prefix is affected because it allows the #mysql50# prefix to bypass normal table-name filesystem encoding. An attacker can trigger the issue…
Hestia Control Panel is a lightweight and powerful control panel for the modern web. From version 1.9.7 through 1.10.4, update_object_value() in func/main.sh does not escape single quotes when writing a custom document-root value to a user's web.conf file, allowing a low-privileged authenticated…
Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego.
Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących.
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.7.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Kustomize passes ref or version query values from remote resource, base, or component URLs to git fetch without an end-of-options separator. A leading-hyphen value can…
Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which THREAT_MODEL.md calls the main control against a compromised agent (Adversary 3.2). The allowlist glob-matches…
PraisonAI is a multi-agent teams system. Prior to version 4.6.40, PraisonAI's first-party A2A server example exposes an unauthenticated A2A JSON-RPC endpoint and registers a `calculate(expression)` tool implemented with Python `eval()`. The example also binds to `0.0.0.0`. A remote unauthenticated…
Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus.
Błąd w libcurl pozwala na niewłaściwe ponowne użycie połączenia HTTP, co może prowadzić do ujawnienia danych użytkownika.
Wstrzyknięcie SQL w Kestra umożliwia zdalne wykonanie kodu po uwierzytelnieniu.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Nieprawidłowe neutralizowanie elementów w Plesk pozwala zdalnym użytkownikom na ujawnienie plików i eskalację uprawnień. | Nieprawidłowe neutralizowanie elementów w Plesk pozwala zdalnym użytkownikom na ujawnienie plików i eskalację uprawnień. |
W tym tygodniu | 9,9 | 0,7 % | ||
| Luka w ProSolution WP Client umożliwia nieautoryzowane przesyłanie plików i zdalne wykonanie kodu. | Luka w ProSolution WP Client umożliwia nieautoryzowane przesyłanie plików i zdalne wykonanie kodu. |
W tym tygodniu | 9,8 | 1,2 % | ||
| Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in… | Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote… |
W tym tygodniu | 9,8 | 1,19 % | ||
| Nieprawidłowa neutralizacja w konfiguracji instancji NVIDIA w LXD pozwala na wstrzyknięcie dowolnych dyrektyw. | Nieprawidłowa neutralizacja w konfiguracji instancji NVIDIA w LXD pozwala na wstrzyknięcie dowolnych dyrektyw. |
Pilne działanie | 9,9 | 0,69 % | ||
| Brak uwierzytelnienia w 9Router umożliwia nieautoryzowany eksport i import bazy danych. | Brak uwierzytelnienia w 9Router umożliwia nieautoryzowany eksport i import bazy danych. |
W tym tygodniu | 9,9 | 0,69 % | ||
| Wstrzyknięcie XPath w Plesk umożliwia eskalację uprawnień przez wykonanie poleceń systemowych. | Wstrzyknięcie XPath w Plesk umożliwia eskalację uprawnień przez wykonanie poleceń systemowych. |
W tym tygodniu | 9,9 | 0,69 % | ||
| W Dockwatch 0.6.567 występuje podatność na wstrzyknięcie poleceń, umożliwiająca zdalne wykonanie dowolnych komend. | W Dockwatch 0.6.567 występuje podatność na wstrzyknięcie poleceń, umożliwiająca zdalne wykonanie dowolnych komend. |
W tym tygodniu | 9,8 | 1,19 % | ||
| Wykonanie poleceń powłoki na serwerze MariaDB z włączonym REST pozwala na zdalne ataki. | Wykonanie poleceń powłoki na serwerze MariaDB z włączonym REST pozwala na zdalne ataki. |
W tym tygodniu | 9,8 | 1,19 % | ||
| Wykorzystanie funkcji inspect w vm2 umożliwia atakującym ucieczkę z piaskownicy i wykonanie dowolnych poleceń. | Wykorzystanie funkcji inspect w vm2 umożliwia atakującym ucieczkę z piaskownicy i wykonanie dowolnych poleceń. |
Pilne działanie | 9,8 | 1,19 % | ||
| Przepełnienie bufora w GV-VMS umożliwia zdalne wykonanie kodu jako SYSTEM. | Przepełnienie bufora w GV-VMS umożliwia zdalne wykonanie kodu jako SYSTEM. |
W tym tygodniu | 10,0 | 0,19 % | ||
| Błąd w multicloud-operators-subscription pozwala na eskalację uprawnień w klastrze. | Błąd w multicloud-operators-subscription pozwala na eskalację uprawnień w klastrze. |
W tym tygodniu | 9,9 | 0,69 % | ||
| Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień. | Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień. |
W tym tygodniu | 9,9 | 0,69 % | ||
| IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request… | IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious and unauthorized actions transmitted from a user that the website trusts. |
W tym tygodniu | 10,0 | 0,18 % | ||
| Obejście zabezpieczeń w SandboxJS pozwala na modyfikację globalnych obiektów w JavaScript. | Obejście zabezpieczeń w SandboxJS pozwala na modyfikację globalnych obiektów w JavaScript. |
Pilne działanie | 10,0 | 0,18 % | ||
| Wykonanie kodu w API XMLRPC w Netgate pfSense CE 2.8.0 może prowadzić do nieautoryzowanego dostępu. | Wykonanie kodu w API XMLRPC w Netgate pfSense CE 2.8.0 może prowadzić do nieautoryzowanego dostępu. |
Pilne działanie | 9,9 | 0,68 % | ||
| MariaDB server is a community developed fork of MySQL server. | MariaDB server is a community developed fork of MySQL server. From 10.6.1 until 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, and 13.0.2, the #mysql50# bypass prefix is affected because it allows the #mysql50# prefix to bypass normal table-name filesystem encoding. An attacker can trigger the issue… |
W tym tygodniu | 9,9 | 0,68 % | ||
| Hestia Control Panel is a lightweight and powerful control panel for the modern web. | Hestia Control Panel is a lightweight and powerful control panel for the modern web. From version 1.9.7 through 1.10.4, update_object_value() in func/main.sh does not escape single quotes when writing a custom document-root value to a user's web.conf file, allowing a low-privileged authenticated… |
W tym tygodniu | 9,9 | 0,68 % | ||
| Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego. | Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego. |
W tym tygodniu | 9,8 | 1,17 % | ||
| Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących. | Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących. |
W tym tygodniu | 9,9 | 0,67 % | ||
| Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. | Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.7.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Kustomize passes ref or version query values from remote resource, base, or component URLs to git fetch without an end-of-options separator. A leading-hyphen value can… |
W tym tygodniu | 9,9 | 0,67 % | ||
| Network-AI is a TypeScript/Node.js multi-agent orchestrator. | Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which THREAT_MODEL.md calls the main control against a compromised agent (Adversary 3.2). The allowlist glob-matches… |
W tym tygodniu | 9,9 | 0,67 % | ||
| PraisonAI is a multi-agent teams system. | PraisonAI is a multi-agent teams system. Prior to version 4.6.40, PraisonAI's first-party A2A server example exposes an unauthenticated A2A JSON-RPC endpoint and registers a `calculate(expression)` tool implemented with Python `eval()`. The example also binds to `0.0.0.0`. A remote unauthenticated… |
W tym tygodniu | 9,8 | 1,17 % | ||
| Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus. | Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus. |
W tym tygodniu | 9,9 | 0,66 % | ||
| Błąd w libcurl pozwala na niewłaściwe ponowne użycie połączenia HTTP, co może prowadzić do ujawnienia danych użytkownika. | Błąd w libcurl pozwala na niewłaściwe ponowne użycie połączenia HTTP, co może prowadzić do ujawnienia danych użytkownika. |
Pilne działanie | 9,8 | 1,16 % | ||
| Wstrzyknięcie SQL w Kestra umożliwia zdalne wykonanie kodu po uwierzytelnieniu. | Wstrzyknięcie SQL w Kestra umożliwia zdalne wykonanie kodu po uwierzytelnieniu. |
Pilne działanie | 9,9 | 0,66 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.