KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
A vulnerability was identified in Totolink A8000RU 7.1cu.643_b20200521. The affected element is the function setRadvdCfg of the file /cgi-bin/cstecgi.cgi of the component CGI Handler. The manipulation of the argument maxRtrAdvInterval leads to os command injection. It is possible to initiate the…
A OS command injection vulnerability exists in the boa formUpload() functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.
Webreaper Damselfly through 4.5.3 contains an authentication bypass vulnerability that allows unauthenticated attackers to access all /api/* routes because controller authorization attributes are commented out. Attackers can send PUT /api/users with Admin roles to create administrator accounts, or…
Luka w Responsive FileManager umożliwia nieautoryzowanym atakującym przesyłanie plików, co prowadzi do zdalnego wykonania kodu.
Simple Admin Core through 1.8.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge super administrator tokens by using the hard-coded Auth.AccessSecret in api/etc/core.yaml. Attackers can sign a JWT with the public secret and roleId claim 001 to gain…
Luka w Oracle Product Lifecycle Analytics umożliwia nieautoryzowany dostęp do danych.
Wielokrotne podatności na wstrzyknięcie SQL w PIAF-HMS umożliwiają zdalne ataki na bazę danych.
Podsłuchanie ruchu sieciowego w Contemporary Controls BASC 20T umożliwia fałszowanie pakietów.
DedeCMS through 5.8.1-beta contains a PHP code injection vulnerability in ShowMsg() where the HTTP Referer header is written into a DedeTemplate string and included. Unauthenticated attackers can send a crafted Referer to /plus/flink.php?dopost=save with an empty validate code to execute arbitrary…
Brak uwierzytelnienia w Gardyn umożliwia dostęp do informacji o kontach użytkowników.
Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created…
openssl_encrypt before 1.4.9 executes untrusted third-party plugins with insufficient controls: the plugin signature policy defaulted to WARN, so an unsigned/unverifiable non-built-in plugin was compiled and executed in the host process at import time, before the runtime sandbox is installed. The…
Brak walidacji hosta w bibliotece unstructured pozwala na ujawnienie danych wewnętrznych.
Wstrzyknięcie SQL w PHP Jabbers - Car Rental Script pozwala na ataki przez nieautoryzowanych użytkowników.
Błąd autoryzacji w Adobe Connect pozwala na zdalne wykonanie kodu przez atakującego.
W Chamilo LMS występuje podatność XSS w formularzu rejestracji, umożliwiająca przejęcie konta administratora.
FastapiAdmin through 3.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain sessions for any user by abusing unprotected auto-login endpoints. Attackers can list users via /api/v1/auth/auto-login/users, mint a superuser auto-login token, and exchange it…
Błąd logiki uwierzytelniania w Cap-go pozwala na przejęcie konta ofiary przed weryfikacją emaila.
Wykrywanie nazw użytkowników w Spice umożliwia nieautoryzowanym atakującym identyfikację kont.
Hardkodowane konto w NetMan 204 umożliwia zdalne uzyskanie uprawnień administratora.
Luka w phpMyFAQ umożliwia atakującym ominięcie uwierzytelnienia dwuskładnikowego i uzyskanie dostępu administracyjnego.
Obejście kontroli dostępu w PTC Windchill WRR umożliwia nieautoryzowany dostęp.
Missing Authentication for Critical Function (CWE-306) and Missing Authorization (CWE-862) in the /libp2p-http ingress server (StartIngressServer in cmd/sam-node/node.go) in Google OSS Agent Mesh (SAM) versions 0.1.0-alpha.1 through 0.1.0-alpha.2 allow an unauthenticated remote libp2p peer to…
A path traversal vulnerability has been reported to affect Qsirch. If exploited, the vulnerability could allow remote attackers to read the contents of unexpected files or system data. We have already fixed the vulnerability in the following version: Qsirch 7.0.3.0 and later
Best Practice Software Bp Premier before 1.14.1.1128 uses a hardcoded Microsoft SQL Server administrative password that is shared across all installations and cannot be changed without breaking the application. Attackers with network access to the database instance can authenticate as sysadmin,…
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| A vulnerability was identified in Totolink A8000RU 7.1cu.643_b20200521. | A vulnerability was identified in Totolink A8000RU 7.1cu.643_b20200521. The affected element is the function setRadvdCfg of the file /cgi-bin/cstecgi.cgi of the component CGI Handler. The manipulation of the argument maxRtrAdvInterval leads to os command injection. It is possible to initiate the… |
Obserwuj | 8,9 | 2,45 % | ||
| A OS command injection vulnerability exists in the boa formUpload() functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B2025042… | A OS command injection vulnerability exists in the boa formUpload() functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability. |
W tym tygodniu | 9,1 | 1,45 % | ||
| Webreaper Damselfly through 4.5.3 contains an authentication bypass vulnerability that allows unauthenticated attackers to access all… | Webreaper Damselfly through 4.5.3 contains an authentication bypass vulnerability that allows unauthenticated attackers to access all /api/* routes because controller authorization attributes are commented out. Attackers can send PUT /api/users with Admin roles to create administrator accounts, or… |
W tym tygodniu | 9,3 | 0,45 % | ||
| Luka w Responsive FileManager umożliwia nieautoryzowanym atakującym przesyłanie plików, co prowadzi do zdalnego wykonania kodu. | Luka w Responsive FileManager umożliwia nieautoryzowanym atakującym przesyłanie plików, co prowadzi do zdalnego wykonania kodu. |
Pilne działanie | 9,3 | 0,45 % | ||
| Simple Admin Core through 1.8.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge super… | Simple Admin Core through 1.8.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge super administrator tokens by using the hard-coded Auth.AccessSecret in api/etc/core.yaml. Attackers can sign a JWT with the public secret and roleId claim 001 to gain… |
W tym tygodniu | 9,3 | 0,44 % | ||
| Luka w Oracle Product Lifecycle Analytics umożliwia nieautoryzowany dostęp do danych. | Luka w Oracle Product Lifecycle Analytics umożliwia nieautoryzowany dostęp do danych. |
W tym tygodniu | 9,3 | 0,44 % | ||
| Wielokrotne podatności na wstrzyknięcie SQL w PIAF-HMS umożliwiają zdalne ataki na bazę danych. | Wielokrotne podatności na wstrzyknięcie SQL w PIAF-HMS umożliwiają zdalne ataki na bazę danych. |
W tym tygodniu | 9,3 | 0,44 % | ||
| Podsłuchanie ruchu sieciowego w Contemporary Controls BASC 20T umożliwia fałszowanie pakietów. | Podsłuchanie ruchu sieciowego w Contemporary Controls BASC 20T umożliwia fałszowanie pakietów. |
W tym tygodniu | 9,3 | 0,44 % | ||
| DedeCMS through 5.8.1-beta contains a PHP code injection vulnerability in ShowMsg() where the HTTP Referer header is written into a… | DedeCMS through 5.8.1-beta contains a PHP code injection vulnerability in ShowMsg() where the HTTP Referer header is written into a DedeTemplate string and included. Unauthenticated attackers can send a crafted Referer to /plus/flink.php?dopost=save with an empty validate code to execute arbitrary… |
W tym tygodniu | 9,3 | 0,44 % | ||
| Brak uwierzytelnienia w Gardyn umożliwia dostęp do informacji o kontach użytkowników. | Brak uwierzytelnienia w Gardyn umożliwia dostęp do informacji o kontach użytkowników. |
W tym tygodniu | 9,3 | 0,44 % | ||
| Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain… | Rapyd Admin from 9.0.0 before 9.20.0 contains a hard-coded credentials vulnerability that allows remote unauthenticated attackers to gain super-admin access through an AuthSeeder-created admin@laravel account with password admin. The account is seeded by the setup installer and silently re-created… |
W tym tygodniu | 9,3 | 0,44 % | ||
| openssl_encrypt before 1.4.9 executes untrusted third-party plugins with insufficient controls: the plugin signature policy defaulted to… | openssl_encrypt before 1.4.9 executes untrusted third-party plugins with insufficient controls: the plugin signature policy defaulted to WARN, so an unsigned/unverifiable non-built-in plugin was compiled and executed in the host process at import time, before the runtime sandbox is installed. The… |
W tym tygodniu | 9,3 | 0,44 % | ||
| Brak walidacji hosta w bibliotece unstructured pozwala na ujawnienie danych wewnętrznych. | Brak walidacji hosta w bibliotece unstructured pozwala na ujawnienie danych wewnętrznych. |
W tym tygodniu | 9,3 | 0,44 % | ||
| Wstrzyknięcie SQL w PHP Jabbers - Car Rental Script pozwala na ataki przez nieautoryzowanych użytkowników. | Wstrzyknięcie SQL w PHP Jabbers - Car Rental Script pozwala na ataki przez nieautoryzowanych użytkowników. |
Pilne działanie | 9,3 | 0,44 % | ||
| Błąd autoryzacji w Adobe Connect pozwala na zdalne wykonanie kodu przez atakującego. | Błąd autoryzacji w Adobe Connect pozwala na zdalne wykonanie kodu przez atakującego. |
W tym tygodniu | 9,3 | 0,44 % | ||
| W Chamilo LMS występuje podatność XSS w formularzu rejestracji, umożliwiająca przejęcie konta administratora. | W Chamilo LMS występuje podatność XSS w formularzu rejestracji, umożliwiająca przejęcie konta administratora. |
W tym tygodniu | 9,3 | 0,43 % | ||
| FastapiAdmin through 3.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain sessions for any… | FastapiAdmin through 3.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain sessions for any user by abusing unprotected auto-login endpoints. Attackers can list users via /api/v1/auth/auto-login/users, mint a superuser auto-login token, and exchange it… |
W tym tygodniu | 9,3 | 0,43 % | ||
| Błąd logiki uwierzytelniania w Cap-go pozwala na przejęcie konta ofiary przed weryfikacją emaila. | Błąd logiki uwierzytelniania w Cap-go pozwala na przejęcie konta ofiary przed weryfikacją emaila. |
W tym tygodniu | 9,3 | 0,43 % | ||
| Wykrywanie nazw użytkowników w Spice umożliwia nieautoryzowanym atakującym identyfikację kont. | Wykrywanie nazw użytkowników w Spice umożliwia nieautoryzowanym atakującym identyfikację kont. |
W tym tygodniu | 9,3 | 0,43 % | ||
| Hardkodowane konto w NetMan 204 umożliwia zdalne uzyskanie uprawnień administratora. | Hardkodowane konto w NetMan 204 umożliwia zdalne uzyskanie uprawnień administratora. |
W tym tygodniu | 9,3 | 0,43 % | ||
| Luka w phpMyFAQ umożliwia atakującym ominięcie uwierzytelnienia dwuskładnikowego i uzyskanie dostępu administracyjnego. | Luka w phpMyFAQ umożliwia atakującym ominięcie uwierzytelnienia dwuskładnikowego i uzyskanie dostępu administracyjnego. |
W tym tygodniu | 9,3 | 0,43 % | ||
| Obejście kontroli dostępu w PTC Windchill WRR umożliwia nieautoryzowany dostęp. | Obejście kontroli dostępu w PTC Windchill WRR umożliwia nieautoryzowany dostęp. |
W tym tygodniu | 9,3 | 0,43 % | ||
| Missing Authentication for Critical Function (CWE-306) and Missing Authorization (CWE-862) in the /libp2p-http ingress server… | Missing Authentication for Critical Function (CWE-306) and Missing Authorization (CWE-862) in the /libp2p-http ingress server (StartIngressServer in cmd/sam-node/node.go) in Google OSS Agent Mesh (SAM) versions 0.1.0-alpha.1 through 0.1.0-alpha.2 allow an unauthenticated remote libp2p peer to… |
W tym tygodniu | 9,3 | 0,43 % | ||
| A path traversal vulnerability has been reported to affect Qsirch. | A path traversal vulnerability has been reported to affect Qsirch. If exploited, the vulnerability could allow remote attackers to read the contents of unexpected files or system data. We have already fixed the vulnerability in the following version: Qsirch 7.0.3.0 and later |
W tym tygodniu | 9,3 | 0,43 % | ||
| Best Practice Software Bp Premier before 1.14.1.1128 uses a hardcoded Microsoft SQL Server administrative password that is shared across… | Best Practice Software Bp Premier before 1.14.1.1128 uses a hardcoded Microsoft SQL Server administrative password that is shared across all installations and cannot be changed without breaking the application. Attackers with network access to the database instance can authenticate as sysadmin,… |
W tym tygodniu | 9,3 | 0,43 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.