KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
A missing authentication for critical function vulnerability has been reported to affect sMedio DTCP MOVE. If exploited, the vulnerability could allow remote attackers to gain access to the system. We have already fixed the vulnerability in the following version: sMedio DTCP MOVE 1.4.5 and later
Podatność w Cudy WR3000 umożliwia nieautoryzowanym atakującym fałszowanie tokenów JWT.
An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote attacker to authenticate as an arbitrary tenant user, obtain TenantAdmin and Designer privileges, and execute arbitrary operating system commands via manipulation…
Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users,…
JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to access the admin console on port 8090. Attackers can log in as administrator, even after account deletion since CheckLogin recreates it, to control tenant…
Brak uwierzytelnienia w NetMan 204 pozwala zdalnemu atakującemu na dostęp do wrażliwych danych i komend.
Błędne sprawdzanie wyjątkowych warunków w protokole Modbus TCP może prowadzić do wykonania kodu.
A Blind SQL injection vulnerability has been identified in Windu CMS. A remote unauthenticated attacker is able to inject SQL syntax into URL path in HTTP header resulting in Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in…
Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików.
Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników.
Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych.
Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień.
Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników.
Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell.
Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive. Multi Model Server is end of life and no fixed version is available. Users should discontinue use…
Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user.
Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego.
Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów.
A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization Extensions service of Veeam Management Pack for Microsoft System Center.
Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local…
Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created…
MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file…
Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem.
The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and…
Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| A missing authentication for critical function vulnerability has been reported to affect sMedio DTCP MOVE. | A missing authentication for critical function vulnerability has been reported to affect sMedio DTCP MOVE. If exploited, the vulnerability could allow remote attackers to gain access to the system. We have already fixed the vulnerability in the following version: sMedio DTCP MOVE 1.4.5 and later |
W tym tygodniu | 9,3 | 0,53 % | ||
| Podatność w Cudy WR3000 umożliwia nieautoryzowanym atakującym fałszowanie tokenów JWT. | Podatność w Cudy WR3000 umożliwia nieautoryzowanym atakującym fałszowanie tokenów JWT. |
W tym tygodniu | 9,3 | 0,53 % | ||
| An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote… | An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote attacker to authenticate as an arbitrary tenant user, obtain TenantAdmin and Designer privileges, and execute arbitrary operating system commands via manipulation… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin… | Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users,… |
W tym tygodniu | 9,3 | 0,53 % | ||
| JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to… | JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to access the admin console on port 8090. Attackers can log in as administrator, even after account deletion since CheckLogin recreates it, to control tenant… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w NetMan 204 pozwala zdalnemu atakującemu na dostęp do wrażliwych danych i komend. | Brak uwierzytelnienia w NetMan 204 pozwala zdalnemu atakującemu na dostęp do wrażliwych danych i komend. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Błędne sprawdzanie wyjątkowych warunków w protokole Modbus TCP może prowadzić do wykonania kodu. | Błędne sprawdzanie wyjątkowych warunków w protokole Modbus TCP może prowadzić do wykonania kodu. |
W tym tygodniu | 9,3 | 0,53 % | ||
| A Blind SQL injection vulnerability has been identified in Windu CMS. | A Blind SQL injection vulnerability has been identified in Windu CMS. A remote unauthenticated attacker is able to inject SQL syntax into URL path in HTTP header resulting in Blind SQL Injection. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in… |
Pilne działanie | 9,3 | 0,53 % | ||
| Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików. | Brak weryfikacji w nagłówku Content-Disposition w serwerze WWW pozwala na zapis do dowolnych plików. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników. | Użycie twardo zakodowanych poświadczeń w Roskus Prospero Flow CRM pozwala na nieautoryzowany dostęp do kont pracowników. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. | Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień. | Przekierowanie URL do nieufnej witryny w M365 Copilot umożliwia nieautoryzowanemu atakującemu eskalację uprawnień. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników. | Wstrzyknięcie SQL w Simple Music Cloud Community System umożliwia dostęp do danych użytkowników. |
W tym tygodniu | 9,4 | 0,03 % | ||
| Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. | Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. |
Pilne działanie | 9,1 | 1,53 % | ||
| Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote… | Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive. Multi Model Server is end of life and no fixed version is available. Users should discontinue use… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers… | Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego. | Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. | Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. |
W tym tygodniu | 9,3 | 0,53 % | ||
| A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization… | A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization Extensions service of Veeam Management Pack for Microsoft System Center. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox)… | Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Redash is a package for data visualization and sharing. | Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created… |
W tym tygodniu | 9,3 | 0,53 % | ||
| MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. | MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. | Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. |
W tym tygodniu | 9,2 | 1,03 % | ||
| The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo… | The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without… | Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the… |
W tym tygodniu | 9,3 | 0,52 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.