KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell.
Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive. Multi Model Server is end of life and no fixed version is available. Users should discontinue use…
Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user.
HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root…
Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego.
Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów.
Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych.
A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization Extensions service of Veeam Management Pack for Microsoft System Center.
Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local…
Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created…
Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem.
The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and…
Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the…
Przepełnienie bufora w SD-330AC i AMC Manager umożliwia zdalne wykonanie kodu.
External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to write files to arbitrary locations outside the intended upload directory via relative or absolute path sequences.
Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego.
Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł.
Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS.
Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.88.0 and canary versions before 4.0.0-canary.27, an unauthenticated user can submit prototype-sensitive field paths when @payloadcms/plugin-import-export is enabled, causing unintended application…
Eskalacja uprawnień w serii Mennekes Amtron pozwala na zmianę haseł kont administratora.
TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. From 1.143.12 until 1.169.39 for @tanstack/start-server-core, 1.168.60 for @tanstack/react-start, 1.168.57 for @tanstack/solid-start, and 1.168.56 for @tanstack/vue-start, an…
Network-AI (npm: network-ai) versions 5.12.2 through 5.13.3 fail to apply the configured authorization check (checkAuth/secret) to the ApprovalInbox GET read routes, so even when an operator configures a secret, unauthenticated actors can access sensitive approval request details. The GET…
Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików.
Wykonanie złośliwego kodu w GitButler umożliwia kliknięcie linku w treści pull requesta.
Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. | Brak walidacji plików w ChurchCRM umożliwia zdalne wykonanie kodu przez wgranie web shell. |
Pilne działanie | 9,1 | 1,53 % | ||
| Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote… | Relative path traversal during model archive extraction in Amazon Web Services Multi Model Server 1.1.11 and earlier might allow remote actors to execute arbitrary code via a crafted model archive. Multi Model Server is end of life and no fixed version is available. Users should discontinue use… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers… | Enterprise Cloud Database developed by Ragic has a Hard-coded Cryptographic Key vulnerability, allowing unauthenticated remote attackers to exploit the fixed key to generate verification information and log into the system as any user. |
W tym tygodniu | 9,3 | 0,53 % | ||
| HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access… | HKUDS Vibe-Trading from 0.1.0 before 0.1.7 contains a missing authentication vulnerability that allows unauthenticated attackers to access the FastAPI surface because require_auth() returns early when API_AUTH_KEY is unset. Attackers can post messages to /sessions/{id}/messages to trigger root… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego. | Brak uwierzytelnienia w Qinglong pozwala na resetowanie danych administratora przez atakującego. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. | Brak uwierzytelnienia w SeaweedFS umożliwia dostęp do danych z dowolnych hostów. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. | Wykryta luka w `guardrails-detectors` umożliwia zdalne wykonanie SSRF i dostęp do wrażliwych danych. |
W tym tygodniu | 9,3 | 0,53 % | ||
| A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization… | A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization Extensions service of Veeam Management Pack for Microsoft System Center. |
W tym tygodniu | 9,3 | 0,53 % | ||
| Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox)… | Path Traversal and Missing Authorization in cloud-storage source in Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) versions 1.2.0 through 1.4.0 allows an unauthenticated remote attacker to exfiltrate host files to external Google Cloud Storage buckets and overwrite arbitrary local… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Redash is a package for data visualization and sharing. | Redash is a package for data visualization and sharing. From 26.0.0 until 26.9.0, the DuckDB query runner's _connect() path in redash/query_runner/duckdb.py created connections with enable_external_access left at its default value of true. A user with query access to an administrator-created… |
W tym tygodniu | 9,3 | 0,53 % | ||
| Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. | Przepełnienie bufora w Xlight FTP Server umożliwia zdalne wykonanie kodu przed uwierzytelnieniem. |
W tym tygodniu | 9,2 | 1,03 % | ||
| The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo… | The SAP Cloud Application Programming Model is a tool for building enterprise-grade cloud applications, and cap-js/cds-dbs is the monorepo for SQL database services for that tool. On April 29, 2026, compromised versions of `@cap-js/[email protected]`, `@cap-js/[email protected]`, and… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without… | Langchain-Chatchat through 0.3.1.3 exposes a POST /tools/call API endpoint that invokes any registered tool by name without authentication, leaving the always-registered shell tool callable. Remote attackers can send a single request naming the shell tool to execute arbitrary OS commands as the… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Przepełnienie bufora w SD-330AC i AMC Manager umożliwia zdalne wykonanie kodu. | Przepełnienie bufora w SD-330AC i AMC Manager umożliwia zdalne wykonanie kodu. |
W tym tygodniu | 9,3 | 0,52 % | ||
| External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a… | External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to write files to arbitrary locations outside the intended upload directory via relative or absolute path sequences. |
W tym tygodniu | 9,3 | 0,52 % | ||
| Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego. | Wysokie ryzyko w TrustAllCerts umożliwia atak Man-in-the-Middle i odszyfrowanie ruchu sieciowego. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł. | Błędna kontrola dostępu w portalu zarządzania kontem Deutsche Telekom umożliwia nieautoryzowane resetowanie haseł. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS. | Wstrzyknięcie skryptów w Turboard umożliwia atak typu XSS. |
W tym tygodniu | 9,4 | 0,02 % | ||
| Payload is a free and open source headless content management system. | Payload is a free and open source headless content management system. In versions from 3.0.0 before 3.88.0 and canary versions before 4.0.0-canary.27, an unauthenticated user can submit prototype-sensitive field paths when @payloadcms/plugin-import-export is enabled, causing unintended application… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Eskalacja uprawnień w serii Mennekes Amtron pozwala na zmianę haseł kont administratora. | Eskalacja uprawnień w serii Mennekes Amtron pozwala na zmianę haseł kont administratora. |
W tym tygodniu | 9,3 | 0,52 % | ||
| TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. | TanStack Router is a client-first, server-capable, fully type-safe router and full-stack framework for the web. From 1.143.12 until 1.169.39 for @tanstack/start-server-core, 1.168.60 for @tanstack/react-start, 1.168.57 for @tanstack/solid-start, and 1.168.56 for @tanstack/vue-start, an… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Network-AI (npm: network-ai) versions 5.12.2 through 5.13.3 fail to apply the configured authorization check (checkAuth/secret) to the… | Network-AI (npm: network-ai) versions 5.12.2 through 5.13.3 fail to apply the configured authorization check (checkAuth/secret) to the ApprovalInbox GET read routes, so even when an operator configures a secret, unauthenticated actors can access sensitive approval request details. The GET… |
W tym tygodniu | 9,3 | 0,52 % | ||
| Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików. | Brak walidacji ścieżek w DbGate pozwala na zapis plików w dowolnym miejscu systemu plików. |
W tym tygodniu | 9,3 | 0,52 % | ||
| Wykonanie złośliwego kodu w GitButler umożliwia kliknięcie linku w treści pull requesta. | Wykonanie złośliwego kodu w GitButler umożliwia kliknięcie linku w treści pull requesta. |
W tym tygodniu | 9,3 | 0,52 % | ||
| Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego. | Niebezpieczna deserializacja w vsDesk umożliwia zdalnemu atakującemu uzyskanie nieautoryzowanego dostępu administracyjnego. |
W tym tygodniu | 9,3 | 0,51 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.