KATALOG PODATNOŚCI
Wyszukuj po identyfikatorze CVE, nazwie produktu lub opisie. Filtruj według sygnałów ryzyka.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV.
Joomla Extension - themexpert.com - Authenticated arbitrary file upload in JMedia < 1.6.0 - The Joomla extension JMedia is vulnerable to an authenticated arbitrary file upload, leading to RCE. Executable uploads/writes possible (incl. polyglot filenames);…
Joomla Extension - themexpert.com - Authenticated stored XSS in JMedia Extension < 1.6.0 - The Joomla extension JMedia is vulnerable to a stored XSS vulnerability. Unsanitised SVG uploads served without nosniff, leading to stored/reflected XSS.
Nieprawidłowa walidacja tokenów OAuth w IdentityIQ umożliwia nieautoryzowany dostęp do danych.
W Chamilo LMS występuje podatność XSS w formularzu rejestracji, umożliwiająca przejęcie konta administratora.
Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which THREAT_MODEL.md calls the main control against a compromised agent…
xrdp is an open source RDP server. Versions 0.10.6 and prior contain a missing bounds check in xrdp, which allows a heap-based buffer overflow when operating in vnc-any mode. The issue occurs during the handling of RFB protocol color map messages from a VNC…
xrdp is an open source RDP server. Versions 0.10.6 and prior contain an integer overflow vulnerability when processing screen update messages within the vnc-any connection mode. A malicious remote VNC server can send crafted image dimensions that cause an…
The Piwigo installer in versions 16.3.0 and earlier accepts POST parameters for database configuration and writes them directly into a PHP configuration file without proper sanitization. On PHP 8+, the `addslashes()` protection is bypassed because it checks…
An issue in FileThingie v.2.5.7 allows a remote attacker to obtain sensitive information via the ft2.php component.
@beproduct/nestjs-auth is a NestJS authentication module for BeProduct IDS (Identity Server) with OpenID Connect support. Between 2026-05-11 20:19 UTC and 22:56 UTC, an attacker used a compromised npm publish token to publish 18 malicious versions of…
lettre is a a mailer library for Rust. Starting in version 0.10.1 and prior to version 0.11.22, an inverted-boolean bug in lettre's `boring-tls` integration silently disables TLS hostname verification for callers using the default (strict) configuration. An…
Błąd w Mailpit pozwala na zapisanie plików w dowolnej lokalizacji przez złośliwy serwer.
W HeyForm występuje podatność XSS, umożliwiająca przejęcie konta przez niskoprawnego użytkownika.
Niewłaściwa izolacja w Apache Syncope pozwala na obejście zabezpieczeń Groovy.
Wstrzyknięcie SQL w Apache Syncope pozwala administratorowi na wykonanie dowolnych zapytań SQL.
Nieprawidłowe zarządzanie uprawnieniami w Apache Syncope pozwala użytkownikom na eskalację uprawnień do administratora.
Niewłaściwa izolacja w Apache Syncope umożliwia zdalne wykonanie kodu przez administratora.
Nieprawidłowa izolacja w Apache Syncope pozwala na zdalne wykonanie kodu przez administratora.
A path traversal vulnerability was found in pulpcore. The relative_path_validator function only verifies that content paths do not begin with "/" but fails to block directory traversal sequences such as "../" anywhere in the path. An authenticated…
Network-AI (npm: network-ai) versions 5.12.2 through 5.13.3 fail to apply the configured authorization check (checkAuth/secret) to the ApprovalInbox GET read routes, so even when an operator configures a secret, unauthenticated actors can access sensitive…
SurrealDB versions before 3.1.0 contain a time-of-check/time-of-use race condition in the HTTP /rpc endpoint that allows unauthenticated requests to inherit authenticated session state. Unauthenticated attackers can send concurrent requests to the /rpc…
Błąd w konfiguracji serwera proxy Konnectivity pozwala na nieautoryzowany dostęp do ruchu kontrolnego.
Crypt::Password versions through 0.28 for Perl generate insecure random values for salts. These versions use the built-in rand function, which is predictable and unsuitable for cryptography.
The Kirki WordPress plugin before 6.0.12 does not validate a user-supplied URL before requesting it server-side, allowing unauthenticated attackers to make the site issue HTTP requests to arbitrary hosts (Server-Side Request Forgery).
Meshtastic is an open source mesh networking solution. Prior to version 2.7.21.1370b23, the Meshtastic GitHub repository's main_matrix.yml workflow is triggered by pull_request_target and multiple jobs check out the attacker's fork code and execute it with…
| CVE / produkt | Sygnały | Oceny | Publikacja | Zapisz |
|---|---|---|---|---|
| CVE-2026-60032 Joomla Extension - themexpert.com - Authenticated arbitrary file upload in JMedia < 1.6.0 - The Joomla extension JMedia is vulnerable to an authenticated arbitrary file upload, leading to… |
Wysoki priorytet |
CVSS 9,4EPSS 0,41 % | ||
| CVE-2026-60034 Joomla Extension - themexpert.com - Authenticated stored XSS in JMedia Extension < 1.6.0 - The Joomla extension JMedia is vulnerable to a stored XSS vulnerability. Unsanitised SVG uploads… |
Wysoki priorytet |
CVSS 9,4EPSS 0,42 % | ||
| CVE-2026-12341 Nieprawidłowa walidacja tokenów OAuth w IdentityIQ umożliwia nieautoryzowany dostęp do danych. |
Wysoki priorytet |
CVSS 9,8EPSS 0,4 % | ||
| CVE-2026-39878 W Chamilo LMS występuje podatność XSS w formularzu rejestracji, umożliwiająca przejęcie konta administratora. |
Wysoki priorytet |
CVSS 9,3EPSS 0,43 % | ||
| CVE-2026-54051 Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which… |
Wysoki priorytet |
CVSS 9,9EPSS 0,47 % | ||
| CVE-2026-41252 xrdp is an open source RDP server. Versions 0.10.6 and prior contain a missing bounds check in xrdp, which allows a heap-based buffer overflow when operating in vnc-any mode. The issue… |
Wysoki priorytet |
CVSS 9,8EPSS 1,11 % | ||
| CVE-2026-41521 xrdp is an open source RDP server. Versions 0.10.6 and prior contain an integer overflow vulnerability when processing screen update messages within the vnc-any connection mode. A… |
Wysoki priorytet |
CVSS 9,1EPSS 0,67 % | ||
| CVE-2026-35048 The Piwigo installer in versions 16.3.0 and earlier accepts POST parameters for database configuration and writes them directly into a PHP configuration file without proper sanitization.… |
Wysoki priorytet |
CVSS 9,8EPSS 0,58 % | ||
| CVE-2026-51027 An issue in FileThingie v.2.5.7 allows a remote attacker to obtain sensitive information via the ft2.php component. |
Wysoki priorytet |
CVSS 9,9EPSS 0,62 % | ||
| CVE-2026-46412 @beproduct/nestjs-auth is a NestJS authentication module for BeProduct IDS (Identity Server) with OpenID Connect support. Between 2026-05-11 20:19 UTC and 22:56 UTC, an attacker used a… |
Wysoki priorytet |
CVSS 10,0EPSS 0,77 % | ||
| CVE-2026-46428 lettre is a a mailer library for Rust. Starting in version 0.10.1 and prior to version 0.11.22, an inverted-boolean bug in lettre's `boring-tls` integration silently disables TLS hostname… |
Wysoki priorytet |
CVSS 9,1EPSS 0,32 % | ||
| CVE-2026-45711 Błąd w Mailpit pozwala na zapisanie plików w dowolnej lokalizacji przez złośliwy serwer. |
Wysoki priorytetPubliczny PoC |
CVSS 8,2EPSS 0,39 % | ||
| CVE-2026-35198 W HeyForm występuje podatność XSS, umożliwiająca przejęcie konta przez niskoprawnego użytkownika. |
Wysoki priorytet |
CVSS 9,0EPSS 0,49 % | ||
| CVE-2026-63071 Niewłaściwa izolacja w Apache Syncope pozwala na obejście zabezpieczeń Groovy. |
Wysoki priorytet |
CVSS 9,8EPSS 0,75 % | ||
| CVE-2026-57308 Wstrzyknięcie SQL w Apache Syncope pozwala administratorowi na wykonanie dowolnych zapytań SQL. |
Wysoki priorytet |
CVSS 9,8EPSS 0,83 % | ||
| CVE-2026-62183 Nieprawidłowe zarządzanie uprawnieniami w Apache Syncope pozwala użytkownikom na eskalację uprawnień do administratora. |
Wysoki priorytet |
CVSS 9,8EPSS 0,69 % | ||
| CVE-2026-53421 Niewłaściwa izolacja w Apache Syncope umożliwia zdalne wykonanie kodu przez administratora. |
Wysoki priorytet |
CVSS 9,8EPSS 1,14 % | ||
| CVE-2026-53405 Nieprawidłowa izolacja w Apache Syncope pozwala na zdalne wykonanie kodu przez administratora. |
Wysoki priorytet |
CVSS 9,8EPSS 0,75 % | ||
| CVE-2026-12701 A path traversal vulnerability was found in pulpcore. The relative_path_validator function only verifies that content paths do not begin with "/" but fails to block directory traversal… |
Wysoki priorytet |
CVSS 9,0EPSS 1,19 % | ||
| CVE-2026-64622 Network-AI (npm: network-ai) versions 5.12.2 through 5.13.3 fail to apply the configured authorization check (checkAuth/secret) to the ApprovalInbox GET read routes, so even when an… |
Wysoki priorytet |
CVSS 9,3EPSS 0,52 % | ||
| CVE-2026-63756 SurrealDB versions before 3.1.0 contain a time-of-check/time-of-use race condition in the HTTP /rpc endpoint that allows unauthenticated requests to inherit authenticated session state.… |
Wysoki priorytet |
CVSS 9,2EPSS 0,37 % | ||
| CVE-2026-16242 Błąd w konfiguracji serwera proxy Konnectivity pozwala na nieautoryzowany dostęp do ruchu kontrolnego. |
Wysoki priorytet |
CVSS 9,4EPSS 0,92 % | ||
| CVE-2026-16235 Crypt::Password versions through 0.28 for Perl generate insecure random values for salts. These versions use the built-in rand function, which is predictable and unsuitable for… |
Wysoki priorytet |
CVSS 9,8EPSS 0,55 % | ||
| CVE-2026-13147 The Kirki WordPress plugin before 6.0.12 does not validate a user-supplied URL before requesting it server-side, allowing unauthenticated attackers to make the site issue HTTP requests to… |
Wysoki priorytet |
CVSS 9,1EPSS 1,47 % | ||
| CVE-2026-44359 Meshtastic is an open source mesh networking solution. Prior to version 2.7.21.1370b23, the Meshtastic GitHub repository's main_matrix.yml workflow is triggered by pull_request_target and… |
Wysoki priorytet |
CVSS 10,0EPSS 1,8 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
Ostatnio zakończone okno publikacji NVD: 7.11.2026, 11:02 UTC – 7.11.2026, 16:02 UTC. To pojedyncze okno importu, nie granica pokrycia katalogu.