KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Błąd w wtyczce getgrav/grav-plugin-api pozwala na nieautoryzowane zarządzanie kontami super-adminów.
Błąd w pluginie Grav Login umożliwia usunięcie blokady konta admina przez atakującego.
Błąd w API Mira umożliwia uzyskanie dostępu do konta za pomocą dowolnego hasła.
Słabości w walidacji certyfikatów TLS w FreeRDP umożliwiają oszustwo tożsamości serwera.
Nieprawidłowa kontrola dostępu w Cognee pozwala nieautoryzowanym atakującym na przejęcie konfiguracji.
Domyślne hasło konta root w TBEA TLogger umożliwia zdalny dostęp do urządzenia.
W ColdFusion występuje luka umożliwiająca dostęp do nieautoryzowanych plików poza ograniczeniami.
Authorization Bypass Through User-Controlled Key in the supplier API in Roskus Prospero Flow CRM 4.0.0 through 5.3.1 allows any authenticated user to read and modify another company's supplier record, and to reassign it to their own company, via a PUT request to /api/supplier/{id} setting…
Wstrzyknięcie skryptów w Confluence umożliwia zdalne wykonanie kodu i eskalację uprawnień.
Wtyczka Kadence Memberships dla WordPressa umożliwia przejęcie konta przez złośliwe linki resetujące hasło.
Błąd w ZEBRA pozwala na akceptację bloków, które są odrzucane przez zcashd, co prowadzi do podziału konsensusu.
Niezautoryzowane wywołanie POST w Flyto2 Core umożliwia eksfiltrację sekretu i atak SSRF.
SiYuan kernel before v3.7.4 contains a path traversal vulnerability in the database_clean MCP tool. The tool performs only an empty-string check on the id parameter before passing it to RemoveUnusedAttributeView (kernel/model/attribute_view.go), which builds a filesystem path via filepath.Join…
Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive visualization designs. Prior to versions 6.1.2 and 5.6.3, applications meeting two conditions are at risk of arbitrary JavaScript code execution, even if "safe mode" expressionInterpreter is used.…
Wykorzystanie podatności w apidoc-core pozwala na modyfikację prototypów obiektów JavaScript przez zdalnych atakujących.
Obejście uwierzytelnienia w pac4j-jwt pozwala na fałszowanie tokenów przez zdalnych atakujących.
dot-access 0.0.3 through 1.0.0 contains a code injection vulnerability that allows remote attackers to execute JavaScript by supplying crafted paths to get(). The path is concatenated into a new Function body in index.js, so attackers can reach constructor.constructor to load child_process and run…
Brak odpowiednich kontroli w bibliotece NPM @sap/cds-mtxs pozwala na kradzież danych najemców.
Brak walidacji w Grav pozwala nieautoryzowanym użytkownikom na rejestrację z uprawnieniami admin.super.
Błąd use after free w WebGPU w Google Chrome umożliwia zdalnemu atakującemu potencjalne usunięcie pamięci.
Missing Authorization (CWE-862) and Initialization of a Resource with an Insecure Default (CWE-1188) in the MCP proxy (HandleStreamPassThrough in mcp_service.go) and OIDC registration flow (GET /info and POST /register in internal/controlplane/server.go) in Google OSS Agent Mesh (SAM) versions…
W SSHFS złośliwy serwer SFTP może ujawniać lokalne pliki lub modyfikować je.
Wstrzyknięcie SQL w ReadyEcommerce umożliwia wyciek danych i dostęp do systemu.
Unrestricted Upload of File with Dangerous Type vulnerability in Elementor Elementor Pro allows Using Malicious Files. This issue affects Elementor Pro: from n/a through 4.2.1.
Use of default credentials in Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to gain administrative access to the management platform by logging in with default administrator credentials.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Błąd w wtyczce getgrav/grav-plugin-api pozwala na nieautoryzowane zarządzanie kontami super-adminów. | Błąd w wtyczce getgrav/grav-plugin-api pozwala na nieautoryzowane zarządzanie kontami super-adminów. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Błąd w pluginie Grav Login umożliwia usunięcie blokady konta admina przez atakującego. | Błąd w pluginie Grav Login umożliwia usunięcie blokady konta admina przez atakującego. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Błąd w API Mira umożliwia uzyskanie dostępu do konta za pomocą dowolnego hasła. | Błąd w API Mira umożliwia uzyskanie dostępu do konta za pomocą dowolnego hasła. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Słabości w walidacji certyfikatów TLS w FreeRDP umożliwiają oszustwo tożsamości serwera. | Słabości w walidacji certyfikatów TLS w FreeRDP umożliwiają oszustwo tożsamości serwera. |
Pilne działanie | 9,3 | 0,51 % | ||
| Nieprawidłowa kontrola dostępu w Cognee pozwala nieautoryzowanym atakującym na przejęcie konfiguracji. | Nieprawidłowa kontrola dostępu w Cognee pozwala nieautoryzowanym atakującym na przejęcie konfiguracji. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Domyślne hasło konta root w TBEA TLogger umożliwia zdalny dostęp do urządzenia. | Domyślne hasło konta root w TBEA TLogger umożliwia zdalny dostęp do urządzenia. |
W tym tygodniu | 9,3 | 0,51 % | ||
| W ColdFusion występuje luka umożliwiająca dostęp do nieautoryzowanych plików poza ograniczeniami. | W ColdFusion występuje luka umożliwiająca dostęp do nieautoryzowanych plików poza ograniczeniami. |
Obserwuj | 7,7 | 8,51 % | ||
| Authorization Bypass Through User-Controlled Key in the supplier API in Roskus Prospero Flow CRM 4.0.0 through 5.3.1 allows any… | Authorization Bypass Through User-Controlled Key in the supplier API in Roskus Prospero Flow CRM 4.0.0 through 5.3.1 allows any authenticated user to read and modify another company's supplier record, and to reassign it to their own company, via a PUT request to /api/supplier/{id} setting… |
W tym tygodniu | 9,3 | 0,51 % | ||
| Wstrzyknięcie skryptów w Confluence umożliwia zdalne wykonanie kodu i eskalację uprawnień. | Wstrzyknięcie skryptów w Confluence umożliwia zdalne wykonanie kodu i eskalację uprawnień. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Wtyczka Kadence Memberships dla WordPressa umożliwia przejęcie konta przez złośliwe linki resetujące hasło. | Wtyczka Kadence Memberships dla WordPressa umożliwia przejęcie konta przez złośliwe linki resetujące hasło. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Błąd w ZEBRA pozwala na akceptację bloków, które są odrzucane przez zcashd, co prowadzi do podziału konsensusu. | Błąd w ZEBRA pozwala na akceptację bloków, które są odrzucane przez zcashd, co prowadzi do podziału konsensusu. |
W tym tygodniu | 9,3 | 0,51 % | ||
| Niezautoryzowane wywołanie POST w Flyto2 Core umożliwia eksfiltrację sekretu i atak SSRF. | Niezautoryzowane wywołanie POST w Flyto2 Core umożliwia eksfiltrację sekretu i atak SSRF. |
W tym tygodniu | 9,3 | 0,51 % | ||
| SiYuan kernel before v3.7.4 contains a path traversal vulnerability in the database_clean MCP tool. | SiYuan kernel before v3.7.4 contains a path traversal vulnerability in the database_clean MCP tool. The tool performs only an empty-string check on the id parameter before passing it to RemoveUnusedAttributeView (kernel/model/attribute_view.go), which builds a filesystem path via filepath.Join… |
W tym tygodniu | 9,3 | 0,51 % | ||
| Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive visualization designs. | Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive visualization designs. Prior to versions 6.1.2 and 5.6.3, applications meeting two conditions are at risk of arbitrary JavaScript code execution, even if "safe mode" expressionInterpreter is used.… |
Pilne działanie | 9,3 | 0,5 % | ||
| Wykorzystanie podatności w apidoc-core pozwala na modyfikację prototypów obiektów JavaScript przez zdalnych atakujących. | Wykorzystanie podatności w apidoc-core pozwala na modyfikację prototypów obiektów JavaScript przez zdalnych atakujących. |
W tym tygodniu | 9,3 | 0,5 % | ||
| Obejście uwierzytelnienia w pac4j-jwt pozwala na fałszowanie tokenów przez zdalnych atakujących. | Obejście uwierzytelnienia w pac4j-jwt pozwala na fałszowanie tokenów przez zdalnych atakujących. |
W tym tygodniu | 9,3 | 0,5 % | ||
| dot-access 0.0.3 through 1.0.0 contains a code injection vulnerability that allows remote attackers to execute JavaScript by supplying… | dot-access 0.0.3 through 1.0.0 contains a code injection vulnerability that allows remote attackers to execute JavaScript by supplying crafted paths to get(). The path is concatenated into a new Function body in index.js, so attackers can reach constructor.constructor to load child_process and run… |
W tym tygodniu | 9,3 | 0,5 % | ||
| Brak odpowiednich kontroli w bibliotece NPM @sap/cds-mtxs pozwala na kradzież danych najemców. | Brak odpowiednich kontroli w bibliotece NPM @sap/cds-mtxs pozwala na kradzież danych najemców. |
W tym tygodniu | 9,4 | Nieustalone | ||
| Brak walidacji w Grav pozwala nieautoryzowanym użytkownikom na rejestrację z uprawnieniami admin.super. | Brak walidacji w Grav pozwala nieautoryzowanym użytkownikom na rejestrację z uprawnieniami admin.super. |
W tym tygodniu | 9,4 | Nieustalone | ||
| Błąd use after free w WebGPU w Google Chrome umożliwia zdalnemu atakującemu potencjalne usunięcie pamięci. | Błąd use after free w WebGPU w Google Chrome umożliwia zdalnemu atakującemu potencjalne usunięcie pamięci. |
Obserwuj | 8,8 | 3 % | ||
| Missing Authorization (CWE-862) and Initialization of a Resource with an Insecure Default (CWE-1188) in the MCP proxy… | Missing Authorization (CWE-862) and Initialization of a Resource with an Insecure Default (CWE-1188) in the MCP proxy (HandleStreamPassThrough in mcp_service.go) and OIDC registration flow (GET /info and POST /register in internal/controlplane/server.go) in Google OSS Agent Mesh (SAM) versions… |
W tym tygodniu | 9,3 | 0,5 % | ||
| W SSHFS złośliwy serwer SFTP może ujawniać lokalne pliki lub modyfikować je. | W SSHFS złośliwy serwer SFTP może ujawniać lokalne pliki lub modyfikować je. |
W tym tygodniu | 9,3 | 0,5 % | ||
| Wstrzyknięcie SQL w ReadyEcommerce umożliwia wyciek danych i dostęp do systemu. | Wstrzyknięcie SQL w ReadyEcommerce umożliwia wyciek danych i dostęp do systemu. |
W tym tygodniu | 9,3 | 0,5 % | ||
| Unrestricted Upload of File with Dangerous Type vulnerability in Elementor Elementor Pro allows Using Malicious Files. | Unrestricted Upload of File with Dangerous Type vulnerability in Elementor Elementor Pro allows Using Malicious Files. This issue affects Elementor Pro: from n/a through 4.2.1. |
W tym tygodniu | 9,0 | 1,99 % | ||
| Use of default credentials in Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to gain administrative… | Use of default credentials in Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to gain administrative access to the management platform by logging in with default administrator credentials. |
W tym tygodniu | 9,3 | 0,49 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.