KATALOG PODATNOŚCI
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into the base64Url GET parameter. This can lead to full server compromise,…
OpenChatBI is an intelligent chat-based BI tool powered by large language models, designed to help users query, analyze, and visualize data through natural language conversations. Prior to version 0.2.2, the save_report tool in openchatbi/tool/save_report.py…
CocoIndex is a data transformation framework for AI. Prior to version 0.3.34, the Doris target connector didn't verify the configured table name before creating some SQL statements (ALTER TABLE). So, in the application code, if the table name is provided by…
The PowerPack for LearnDash WordPress plugin before 1.3.0 does not have authorization and CRSF checks in an AJAX action, allowing unauthenticated users to update arbitrary WordPress options (such as default_role etc) and create arbitrary admin users
Ghostfolio is an open source wealth management software. Prior to version 2.244.0, by bypassing symbol validation, an attacker can execute arbitrary SQL commands via the getHistorical() method, potentially allowing them to read, modify, or delete sensitive…
Ghostfolio is an open source wealth management software. Prior to version 2.245.0, an attacker can exploit the manual asset import feature to perform a full-read SSRF, allowing them to exfiltrate sensitive cloud metadata (IMDS) or probe internal network…
Błąd logiczny w Idno umożliwia atakującym zdalne wykonanie dowolnych żądań HTTP, co może prowadzić do ujawnienia wrażliwych danych.
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to version 4.8.1, there is a remote code execution vulnerability via a vulnerable API. This issue has been patched in version…
Wstrzyknięcie SQL w AVideo przed wersją 24.0 umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do kradzieży danych.
Podatność w TinyWeb pozwala na wstrzyknięcie niebezpiecznych znaków w nagłówkach, co może prowadzić do nieautoryzowanego dostępu lub wykonania…
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning path Settings field, an attacker with a low-privileged account (e.g.,…
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course description field, an attacker with a low-privileged account (e.g., trainer) can…
Chamilo is a learning management system. Prior to version 1.11.34, there is a stored XSS vulnerability in Chamilo LMS (Verison 1.11.32) allows an attacker to inject arbitrary JavaScript into the platform’s social network and internal messaging features. When…
Sensitive information disclosure and manipulation due to improper authentication. The following products are affected: Acronis Cyber Protect 17 (Linux, Windows) before build 41186.
Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach pozwala na nieautoryzowane przejęcie stacji.
Podatność w Payment Orchestrator umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Podatność w Microsoft Devices Pricing Program umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem.
Wersje OpenClaw przed 2026.2.15 wykorzystują SHA-1 do haszowania kluczy, co naraża na ataki kolizyjne i umożliwia zafałszowanie konfiguracji…
OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not validated. Attackers can connect to the gateway without providing…
Błąd w wtyczce Nextcloud Talk umożliwia obejście listy dozwolonych użytkowników i nieautoryzowany dostęp.
Podatność w OpenClaw umożliwia atakującym wykonanie dowolnych poleceń poprzez obejście listy dozwolonych akcji, co prowadzi do nieautoryzowanego…
OpenClaw versions prior to 2026.2.14 contain a vulnerability in the gateway in which it fails to sanitize internal approval fields in node.invoke parameters, allowing authenticated clients to bypass exec approval gating for system.run commands. Attackers…
OpenClaw versions prior to 2026.2.2 contain a server-side request forgery vulnerability in attachment and media URL hydration that allows remote attackers to fetch arbitrary HTTP(S) URLs. Attackers who can influence media URLs through model-controlled…
OpenClaw versions prior to 2026.2.13 contain a vulnerability in the browser control API in which it accepts user-supplied output paths for trace and download files without consistently constraining writes to temporary directories. Attackers with API access…
OpenClaw versions prior to 2026.2.14 contain server-side request forgery vulnerabilities in the Feishu extension that allow attackers to fetch attacker-controlled remote URLs without SSRF protections via sendMediaFeishu function and markdown image…
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2026-29058 AVideo is a video-sharing Platform software. Prior to version 7.0, an unauthenticated attacker can execute arbitrary OS commands on the server by injecting shell command substitution into… |
Wysoki priorytet |
CVSS 9,8EPSS 8,94 % | ||
| CVE-2026-28795 OpenChatBI is an intelligent chat-based BI tool powered by large language models, designed to help users query, analyze, and visualize data through natural language conversations. Prior to… |
Wysoki priorytet |
CVSS 9,8EPSS 0,51 % | ||
| CVE-2026-28438 CocoIndex is a data transformation framework for AI. Prior to version 0.3.34, the Doris target connector didn't verify the configured table name before creating some SQL statements (ALTER… |
Wysoki priorytet |
CVSS 9,8EPSS 0,32 % | ||
| CVE-2026-2446 The PowerPack for LearnDash WordPress plugin before 1.3.0 does not have authorization and CRSF checks in an AJAX action, allowing unauthenticated users to update arbitrary WordPress… |
Wysoki priorytet |
CVSS 9,8EPSS 0,44 % | ||
| CVE-2026-28785 Ghostfolio is an open source wealth management software. Prior to version 2.244.0, by bypassing symbol validation, an attacker can execute arbitrary SQL commands via the getHistorical()… |
Wysoki priorytet |
CVSS 9,8EPSS 0,42 % | ||
| CVE-2026-28680 Ghostfolio is an open source wealth management software. Prior to version 2.245.0, an attacker can exploit the manual asset import feature to perform a full-read SSRF, allowing them to… |
Wysoki priorytet |
CVSS 9,3EPSS 0,26 % | ||
| CVE-2026-28508 Błąd logiczny w Idno umożliwia atakującym zdalne wykonanie dowolnych żądań HTTP, co może prowadzić do ujawnienia wrażliwych danych. |
Wysoki priorytetPubliczny PoC |
CVSS 8,6EPSS 0,71 % | ||
| CVE-2026-25888 Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to version 4.8.1, there is a remote code execution… |
Wysoki priorytetPubliczny PoC |
CVSS 8,8EPSS 0,75 % | ||
| CVE-2026-28501 Wstrzyknięcie SQL w AVideo przed wersją 24.0 umożliwia nieautoryzowany dostęp do bazy danych, co może prowadzić do kradzieży danych. |
Wysoki priorytet |
CVSS 9,8EPSS 1,67 % | ||
| CVE-2026-29046 Podatność w TinyWeb pozwala na wstrzyknięcie niebezpiecznych znaków w nagłówkach, co może prowadzić do nieautoryzowanego dostępu lub wykonania… |
Wysoki priorytetPubliczny PoC |
CVSS 8,2EPSS 0,44 % | ||
| CVE-2025-59542 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course learning… |
Wysoki priorytet |
CVSS 9,0EPSS 0,35 % | ||
| CVE-2025-59543 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored cross-site scripting (XSS) vulnerability. By injecting malicious JavaScript into the course description… |
Wysoki priorytet |
CVSS 9,0EPSS 0,3 % | ||
| CVE-2025-55289 Chamilo is a learning management system. Prior to version 1.11.34, there is a stored XSS vulnerability in Chamilo LMS (Verison 1.11.32) allows an attacker to inject arbitrary JavaScript… |
Wysoki priorytet |
CVSS 9,0EPSS 0,35 % | ||
| CVE-2026-28710 Sensitive information disclosure and manipulation due to improper authentication. The following products are affected: Acronis Cyber Protect 17 (Linux, Windows) before build 41186. |
Wysoki priorytet |
CVSS 9,8EPSS 0,47 % | ||
| CVE-2026-22552 Brak odpowiednich mechanizmów uwierzytelniania w WebSocketach pozwala na nieautoryzowane przejęcie stacji. |
Wysoki priorytet |
CVSS 9,8EPSS 0,98 % | ||
| CVE-2026-26125 Podatność w Payment Orchestrator umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych. |
Wysoki priorytet |
CVSS 9,8EPSS 1,17 % | ||
| CVE-2026-21536 Podatność w Microsoft Devices Pricing Program umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. |
Wysoki priorytet |
CVSS 9,8EPSS 1,6 % | ||
| CVE-2026-28479 Wersje OpenClaw przed 2026.2.15 wykorzystują SHA-1 do haszowania kluczy, co naraża na ataki kolizyjne i umożliwia zafałszowanie konfiguracji… |
Wysoki priorytet |
CVSS 9,1EPSS 0,21 % | ||
| CVE-2026-28472 OpenClaw versions prior to 2026.2.2 contain a vulnerability in the gateway WebSocket connect handshake in which it allows skipping device identity checks when auth.token is present but not… |
Wysoki priorytet |
CVSS 9,8EPSS 0,41 % | ||
| CVE-2026-28474 Błąd w wtyczce Nextcloud Talk umożliwia obejście listy dozwolonych użytkowników i nieautoryzowany dostęp. |
Wysoki priorytet |
CVSS 9,3EPSS 0,55 % | ||
| CVE-2026-28470 Podatność w OpenClaw umożliwia atakującym wykonanie dowolnych poleceń poprzez obejście listy dozwolonych akcji, co prowadzi do nieautoryzowanego… |
Wysoki priorytet |
CVSS 9,2EPSS 0,55 % | ||
| CVE-2026-28466 OpenClaw versions prior to 2026.2.14 contain a vulnerability in the gateway in which it fails to sanitize internal approval fields in node.invoke parameters, allowing authenticated clients… |
Wysoki priorytet |
CVSS 9,4EPSS 0,47 % | ||
| CVE-2026-28467 OpenClaw versions prior to 2026.2.2 contain a server-side request forgery vulnerability in attachment and media URL hydration that allows remote attackers to fetch arbitrary HTTP(S) URLs.… |
Wysoki priorytetPubliczny PoC |
CVSS 8,6EPSS 0,46 % | ||
| CVE-2026-28462 OpenClaw versions prior to 2026.2.13 contain a vulnerability in the browser control API in which it accepts user-supplied output paths for trace and download files without consistently… |
Wysoki priorytet |
CVSS 9,1EPSS 0,48 % | ||
| CVE-2026-28451 OpenClaw versions prior to 2026.2.14 contain server-side request forgery vulnerabilities in the Feishu extension that allow attackers to fetch attacker-controlled remote URLs without SSRF… |
Wysoki priorytet |
CVSS 9,3EPSS 0,32 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 12.11.2026, 23:02 UTC – 13.11.2026, 04:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.