Baza CVE

Wykorzystanie błędu w parserze JSONC w stream-json może prowadzić do przeciążenia CPU.

Zastąpienie prototypu obiektu w stream-json umożliwia atakującym kontrolowanie właściwości.

Brak wymogu potwierdzenia hasła w Filament pozwala atakującemu na zmianę ustawień MFA.

Brak zabezpieczeń w Kasa EC70 v4 i EC71 v4 pozwala na uzyskanie dostępu do powłoki root przez atakującego z fizycznym dostępem.

Eksport komponentu aplikacji Motorola bez zgody umożliwia cofnięcie uprawnień innym aplikacjom.

Obejście ograniczeń URL w OpenRun umożliwia ataki typu open redirect.

Wykonanie kodu w NetBox przez nieautoryzowanych użytkowników umożliwia modyfikacja plików CI.

Joyland AI app does not verify hostnames, allowing a malicious host to connect or intercept chat messages.

Joyland AI app explicitly permits cleartext HTTP traffic on Android 9+ where the default is to block it.

The Joyland AI app accepts invalid SSL certificates in the invisible advertisement WebView by default.

The Joyland AI app contains hard-coded credentials for the GeTui push notification service, allowing an attacker to access the GeTui REST API and send push notifications containing arbitrary content to any user, group of users, or all users of the app at once.

The Joyland AI app accepts any TLS certificates from any server without validation.

Wormhole.app as deployed before 2026-08-22 misconfigures the coturn TURN server and does not properly restrict TCP relay peers, allowing an unauthenticated attacker to access instance metadata or to source TCP connections from the Wormhole relay's IP.

Nieprawidłowe zarządzanie uprawnieniami w Easy IO FG umożliwia atak brute force.

Brak uwierzytelnienia w Podgrab umożliwia atakującym przejęcie danych użytkowników.

An argument injection issue in the diff scan operation in AWS security-agent-mcp-server before version 0.2.0 might allow context-dependent threat actors to create, overwrite, or truncate arbitrary files on the host outside the intended workspace directory via a crafted reference value supplied to…

Tapo C120 v1 and C200 V5 contain a vulnerability in the HTTPS onboarding scan function due to missing authentication. After initial setup, an unauthenticated attacker on the same local network can invoke the scan action and retrieve nearby wireless access-point metadata, including SSIDs, BSSIDs,…

Wstrzyknięcie SQL w rubygem-katello umożliwia nieautoryzowany dostęp do danych.

Obejście autoryzacji w rubygem-katello pozwala na enumerację użytkowników i organizacji.

Wstrzyknięcie poleceń w Hammer CLI umożliwia zdalne wykonanie kodu.

Zanieczyszczenie prototypu w KaTeX umożliwia atakującemu wykonanie skryptów XSS.

A flaw was found in the X.509 client certificate authenticator of Keycloak. When CRL Distribution Point checking is enabled, the server fails to properly validate the file paths provided in a client certificate. An attacker can provide a specially crafted certificate that causes the server to…

Nadmierne zużycie CPU w geopy umożliwia atak Denial of Service przez długie złośliwe ciągi.

Path equivalence: '/./' (single dot directory) vulnerability in Apache HTTP Server's mod_userdir module when configured with absolute non-wildcard UserDir directive (the 2nd form in https://httpd.apache.org/docs/2.4/mod/mod_userdir.html#userdir) This issue affects Apache HTTP Server: from 2.4.0…

HCL BigFix Service Management is affected by an Information Disclosure vulnerability because an exposed API endpoint exposes sensitive internal database information. This information could enable an attacker to facilitate targeted database attacks.