KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
A Blind SQL injection vulnerability has been identified in Windu CMS. A remote unauthenticated attacker is able to inject SQL syntax into URL path in HTTP header resulting in Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in…
Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików.
Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników.
Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych.
Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień.
Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników.
Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell.
Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user.
Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów.
Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created…
MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file…
Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem.
Przepełnienie bufora w bibliotece libre umożliwia atakującemu zdalne uszkodzenie pamięci.
The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and…
Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the…
External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to write files to arbitrary locations outside the intended upload directory via relative or absolute path sequences.
Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego.
Brak uwierzytelnienia w Gradient pozwala na rejestrację jako pracownik i dostęp do wszystkich zadań.
Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł.
Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS.
Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.88.0 and canary versions before 4.0.0-canary.27, an unauthenticated user can submit prototype-sensitive field paths when @payloadcms/plugin-import-export is enabled, causing unintended application…
TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. From 1.143.12 until 1.169.39 for @tanstack/start-server-core, 1.168.60 for @tanstack/react-start, 1.168.57 for @tanstack/solid-start, and 1.168.56 for @tanstack/vue-start, an…
Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików.
Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego.
@hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. Attackers can use ForAnyValue:StringLike operators to hide wildcard GitHub Actions OIDC subject conditions from security guardrails.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| A Blind SQL injection vulnerability has been identified in Windu CMS. | A Blind SQL injection vulnerability has been identified in Windu CMS. A remote unauthenticated attacker is able to inject SQL syntax into URL path in HTTP header resulting in Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in… |
Pilne działanie | 9,3 | 0,53 % | ||
| Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików. | Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników. | Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. | Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień. | Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników. | Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników. |
W tym tygodniu | 9,4 | 0,03 % | ||
| Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. | Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. |
Pilne działanie | 9,1 | 1,53 % | ||
| Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers… | Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. | Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Redash is a package for data visualization and sharing. | Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created… |
W tym tygodniu | 9,3 | 0,53 % | ||
| MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. | MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. | Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. |
W tym tygodniu | 9,2 | 1,03 % | ||
| Przepełnienie bufora w bibliotece libre umożliwia atakującemu zdalne uszkodzenie pamięci. | Przepełnienie bufora w bibliotece libre umożliwia atakującemu zdalne uszkodzenie pamięci. |
W tym tygodniu | 9,3 | 0,52 % | ||
| The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo… | The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without… | Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the… |
W tym tygodniu | 9,3 | 0,52 % | ||
| External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a… | External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to write files to arbitrary locations outside the intended upload directory via relative or absolute path sequences. |
W tym tygodniu | 9,3 | 0,52 % | ||
| Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego. | Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Brak uwierzytelnienia w Gradient pozwala na rejestrację jako pracownik i dostęp do wszystkich zadań. | Brak uwierzytelnienia w Gradient pozwala na rejestrację jako pracownik i dostęp do wszystkich zadań. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł. | Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS. | Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Payload is a free and open source headless content management system. | Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.88.0 and canary versions before 4.0.0-canary.27, an unauthenticated user can submit prototype-sensitive field paths when @payloadcms/plugin-import-export is enabled, causing unintended application… |
W tym tygodniu | 9,3 | 0,52 % | ||
| TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. | TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. From 1.143.12 until 1.169.39 for @tanstack/start-server-core, 1.168.60 for @tanstack/react-start, 1.168.57 for @tanstack/solid-start, and 1.168.56 for @tanstack/vue-start, an… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików. | Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików. |
W tym tygodniu | 9,3 | 0,52 % | ||
| Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego. | Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego. |
W tym tygodniu | 9,3 | 0,51 % | ||
| @hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. | @hulumi/policies versions before 1.3.2 fail to properly validate set-qualified AWS IAM condition operators in GitHub OIDC trust policies. Attackers can use ForAnyValue:StringLike operators to hide wildcard GitHub Actions OIDC subject conditions from security guardrails. |
W tym tygodniu | 9,3 | 0,51 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.