Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień.
Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień.
- CVSS
- 9,9
- EPSS
- 0,69 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
KATALOG INFORMACJI
Podatności
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
Filtry katalogu · zakres, producent, rekomendacja
IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request…
IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious and unauthorized actions transmitted from a user that the website trusts.
- CVSS
- 10,0
- EPSS
- 0,18 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
MariaDB server is a community developed fork of MySQL server.
MariaDB server is a community developed fork of MySQL server. From 10.6.1 until 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, and 13.0.2, the #mysql50# bypass prefix is affected because it allows the #mysql50# prefix to bypass normal table-name filesystem encoding. An attacker can trigger the issue…
- CVSS
- 9,9
- EPSS
- 0,68 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Hestia Control Panel is a lightweight and powerful control panel for the modern web.
Hestia Control Panel is a lightweight and powerful control panel for the modern web. From version 1.9.7 through 1.10.4, update_object_value() in func/main.sh does not escape single quotes when writing a custom document-root value to a user's web.conf file, allowing a low-privileged authenticated…
- CVSS
- 9,9
- EPSS
- 0,68 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego.
Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego.
- CVSS
- 9,8
- EPSS
- 1,17 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących.
Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących.
- CVSS
- 9,9
- EPSS
- 0,67 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes.
Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.7.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Kustomize passes ref or version query values from remote resource, base, or component URLs to git fetch without an end-of-options separator. A leading-hyphen value can…
- CVSS
- 9,9
- EPSS
- 0,67 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Network-AI is a TypeScript/Node.js multi-agent orchestrator.
Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which THREAT_MODEL.md calls the main control against a compromised agent (Adversary 3.2). The allowlist glob-matches…
- CVSS
- 9,9
- EPSS
- 0,67 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
PraisonAI is a multi-agent teams system.
PraisonAI is a multi-agent teams system. Prior to version 4.6.40, PraisonAI's first-party A2A server example exposes an unauthenticated A2A JSON-RPC endpoint and registers a `calculate(expression)` tool implemented with Python `eval()`. The example also binds to `0.0.0.0`. A remote unauthenticated…
- CVSS
- 9,8
- EPSS
- 1,17 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus.
Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus.
- CVSS
- 9,9
- EPSS
- 0,66 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Błąd walidacji w OpenSSL CMP może prowadzić do awarii klienta w wyniku ataku.
Błąd walidacji w OpenSSL CMP może prowadzić do awarii klienta w wyniku ataku.
- CVSS
- 9,8
- EPSS
- 1,16 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
SENAITE.CORE is the core framework for the SENAITE laboratory information management system.
SENAITE.CORE is the core framework for the SENAITE laboratory information management system. From 2.0.0 to 2.6.0, the SENAITE.CORE JSON API permits unauthenticated remote code execution through a two-request chain involving missing authorization and unsafe evaluation. The state-changing routes in…
- CVSS
- 9,8
- EPSS
- 1,16 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykorzystanie luki w Lighthouse pozwala na wstrzyknięcie nieautoryzowanych zasobów w klastrze.
Wykorzystanie luki w Lighthouse pozwala na wstrzyknięcie nieautoryzowanych zasobów w klastrze.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykonanie dowolnych poleceń OS w Semaphore UI przez złośliwe git_url w repozytorium.
Wykonanie dowolnych poleceń OS w Semaphore UI przez złośliwe git_url w repozytorium.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
W Prowler przed 5.36.0 zdalne wykonanie kodu możliwe przez nieprawidłowe przetwarzanie kubeconfig.
W Prowler przed 5.36.0 zdalne wykonanie kodu możliwe przez nieprawidłowe przetwarzanie kubeconfig.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Brak walidacji w Dokploy umożliwia wykonanie dowolnych poleceń systemowych przez użytkownika.
Brak walidacji w Dokploy umożliwia wykonanie dowolnych poleceń systemowych przez użytkownika.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
W Dokploy przed wersją 0.29.13, niezweryfikowana ścieżka kompozycji pozwala na wykonanie dowolnych poleceń systemowych.
W Dokploy przed wersją 0.29.13, niezweryfikowana ścieżka kompozycji pozwala na wykonanie dowolnych poleceń systemowych.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykonanie poleceń w Dokploy umożliwia zdalne uruchomienie kodu przez złośliwy parametr.
Wykonanie poleceń w Dokploy umożliwia zdalne uruchomienie kodu przez złośliwy parametr.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wstrzyknięcie poleceń w Frogman umożliwia wykonanie dowolnych dyrektyw Asteriska.
Wstrzyknięcie poleceń w Frogman umożliwia wykonanie dowolnych dyrektyw Asteriska.
- CVSS
- 9,9
- EPSS
- 0,65 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykonanie dowolnego kodu w Agno umożliwia atakującym manipulacja parametrem field_type.
Wykonanie dowolnego kodu w Agno umożliwia atakującym manipulacja parametrem field_type.
- CVSS
- 9,8
- EPSS
- 1,15 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wstrzyknięcie poleceń w Typora umożliwia zdalne wykonanie kodu podczas eksportu PDF.
Wstrzyknięcie poleceń w Typora umożliwia zdalne wykonanie kodu podczas eksportu PDF.
- CVSS
- 9,8
- EPSS
- 1,15 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
W MyBB występuje podatność na wstrzyknięcie kodu PHP przez nieprawidłowe przetwarzanie danych konfiguracyjnych.
W MyBB występuje podatność na wstrzyknięcie kodu PHP przez nieprawidłowe przetwarzanie danych konfiguracyjnych.
- CVSS
- 9,8
- EPSS
- 1,15 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Wykonanie dowolnego kodu zdalnie w Hiawatha umożliwia spreparowane żądanie.
Wykonanie dowolnego kodu zdalnie w Hiawatha umożliwia spreparowane żądanie.
- CVSS
- 9,8
- EPSS
- 1,15 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
Deserializacja w Apache CXF umożliwia zdalne wykonanie kodu przez złośliwe wiadomości JMS.
Deserializacja w Apache CXF umożliwia zdalne wykonanie kodu przez złośliwe wiadomości JMS.
- CVSS
- 9,8
- EPSS
- 1,15 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax…
XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax (XHTML, etc). Prior to versions 14.10.2 and 15.0 RC1, any user who can edit their own user profile or any other document can execute arbitrary script macros…
- CVSS
- 9,9
- EPSS
- 0,64 %
- Poprawka
- Status poprawki nieustalony
- Publikacja
- Aktualizacja NVD
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień. | Błąd w API MaaS pozwala na ominięcie bramki AuthPolicy i eskalację uprawnień. |
W tym tygodniu | 9,9 | 0,69 % | ||
| IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request… | IBM Common Licensing Agent 9.0, Agent 9.0.0.1, Agent 9.0.0.2, ART 9.0, ART 9.0.0.1, and ART 9.0.0.2 is vulnerable to cross-site request forgery which could allow an attacker to execute malicious and unauthorized actions transmitted from a user that the website trusts. |
W tym tygodniu | 10,0 | 0,18 % | ||
| MariaDB server is a community developed fork of MySQL server. | MariaDB server is a community developed fork of MySQL server. From 10.6.1 until 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3, and 13.0.2, the #mysql50# bypass prefix is affected because it allows the #mysql50# prefix to bypass normal table-name filesystem encoding. An attacker can trigger the issue… |
W tym tygodniu | 9,9 | 0,68 % | ||
| Hestia Control Panel is a lightweight and powerful control panel for the modern web. | Hestia Control Panel is a lightweight and powerful control panel for the modern web. From version 1.9.7 through 1.10.4, update_object_value() in func/main.sh does not escape single quotes when writing a custom document-root value to a user's web.conf file, allowing a low-privileged authenticated… |
W tym tygodniu | 9,9 | 0,68 % | ||
| Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego. | Przepełnienie całkowite w kliencie DHCP Windows umożliwia eskalację uprawnień przez atakującego. |
W tym tygodniu | 9,8 | 1,17 % | ||
| Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących. | Wykorzystanie luki w OpenPanel js-runtime pozwala na zdalne wykonanie kodu przez atakujących. |
W tym tygodniu | 9,9 | 0,67 % | ||
| Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. | Argo CD is a declarative, GitOps continuous delivery tool for Kubernetes. From 2.7.0 until 3.3.15, 3.4.10, 3.5.4, and 3.6.0-rc2, Kustomize passes ref or version query values from remote resource, base, or component URLs to git fetch without an end-of-options separator. A leading-hyphen value can… |
W tym tygodniu | 9,9 | 0,67 % | ||
| Network-AI is a TypeScript/Node.js multi-agent orchestrator. | Network-AI is a TypeScript/Node.js multi-agent orchestrator. Prior to version 5.9.1, the agent sandbox gates shell commands behind an allowlist (`SandboxPolicy.isCommandAllowed`), which THREAT_MODEL.md calls the main control against a compromised agent (Adversary 3.2). The allowlist glob-matches… |
W tym tygodniu | 9,9 | 0,67 % | ||
| PraisonAI is a multi-agent teams system. | PraisonAI is a multi-agent teams system. Prior to version 4.6.40, PraisonAI's first-party A2A server example exposes an unauthenticated A2A JSON-RPC endpoint and registers a `calculate(expression)` tool implemented with Python `eval()`. The example also binds to `0.0.0.0`. A remote unauthenticated… |
W tym tygodniu | 9,8 | 1,17 % | ||
| Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus. | Wykonanie kodu jako root na hoście przez nieuprzywilejowanego użytkownika w Incus. |
W tym tygodniu | 9,9 | 0,66 % | ||
| Błąd walidacji w OpenSSL CMP może prowadzić do awarii klienta w wyniku ataku. | Błąd walidacji w OpenSSL CMP może prowadzić do awarii klienta w wyniku ataku. |
W tym tygodniu | 9,8 | 1,16 % | ||
| SENAITE.CORE is the core framework for the SENAITE laboratory information management system. | SENAITE.CORE is the core framework for the SENAITE laboratory information management system. From 2.0.0 to 2.6.0, the SENAITE.CORE JSON API permits unauthenticated remote code execution through a two-request chain involving missing authorization and unsafe evaluation. The state-changing routes in… |
W tym tygodniu | 9,8 | 1,16 % | ||
| Wykorzystanie luki w Lighthouse pozwala na wstrzyknięcie nieautoryzowanych zasobów w klastrze. | Wykorzystanie luki w Lighthouse pozwala na wstrzyknięcie nieautoryzowanych zasobów w klastrze. |
W tym tygodniu | 9,9 | 0,65 % | ||
| Wykonanie dowolnych poleceń OS w Semaphore UI przez złośliwe git_url w repozytorium. | Wykonanie dowolnych poleceń OS w Semaphore UI przez złośliwe git_url w repozytorium. |
W tym tygodniu | 9,9 | 0,65 % | ||
| W Prowler przed 5.36.0 zdalne wykonanie kodu możliwe przez nieprawidłowe przetwarzanie kubeconfig. | W Prowler przed 5.36.0 zdalne wykonanie kodu możliwe przez nieprawidłowe przetwarzanie kubeconfig. |
W tym tygodniu | 9,9 | 0,65 % | ||
| Brak walidacji w Dokploy umożliwia wykonanie dowolnych poleceń systemowych przez użytkownika. | Brak walidacji w Dokploy umożliwia wykonanie dowolnych poleceń systemowych przez użytkownika. |
W tym tygodniu | 9,9 | 0,65 % | ||
| W Dokploy przed wersją 0.29.13, niezweryfikowana ścieżka kompozycji pozwala na wykonanie dowolnych poleceń systemowych. | W Dokploy przed wersją 0.29.13, niezweryfikowana ścieżka kompozycji pozwala na wykonanie dowolnych poleceń systemowych. |
W tym tygodniu | 9,9 | 0,65 % | ||
| Wykonanie poleceń w Dokploy umożliwia zdalne uruchomienie kodu przez złośliwy parametr. | Wykonanie poleceń w Dokploy umożliwia zdalne uruchomienie kodu przez złośliwy parametr. |
W tym tygodniu | 9,9 | 0,65 % | ||
| Wstrzyknięcie poleceń w Frogman umożliwia wykonanie dowolnych dyrektyw Asteriska. | Wstrzyknięcie poleceń w Frogman umożliwia wykonanie dowolnych dyrektyw Asteriska. |
W tym tygodniu | 9,9 | 0,65 % | ||
| Wykonanie dowolnego kodu w Agno umożliwia atakującym manipulacja parametrem field_type. | Wykonanie dowolnego kodu w Agno umożliwia atakującym manipulacja parametrem field_type. |
W tym tygodniu | 9,8 | 1,15 % | ||
| Wstrzyknięcie poleceń w Typora umożliwia zdalne wykonanie kodu podczas eksportu PDF. | Wstrzyknięcie poleceń w Typora umożliwia zdalne wykonanie kodu podczas eksportu PDF. |
W tym tygodniu | 9,8 | 1,15 % | ||
| W MyBB występuje podatność na wstrzyknięcie kodu PHP przez nieprawidłowe przetwarzanie danych konfiguracyjnych. | W MyBB występuje podatność na wstrzyknięcie kodu PHP przez nieprawidłowe przetwarzanie danych konfiguracyjnych. |
W tym tygodniu | 9,8 | 1,15 % | ||
| Wykonanie dowolnego kodu zdalnie w Hiawatha umożliwia spreparowane żądanie. | Wykonanie dowolnego kodu zdalnie w Hiawatha umożliwia spreparowane żądanie. |
W tym tygodniu | 9,8 | 1,15 % | ||
| Deserializacja w Apache CXF umożliwia zdalne wykonanie kodu przez złośliwe wiadomości JMS. | Deserializacja w Apache CXF umożliwia zdalne wykonanie kodu przez złośliwe wiadomości JMS. |
W tym tygodniu | 9,8 | 1,15 % | ||
| XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax… | XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax (XHTML, etc). Prior to versions 14.10.2 and 15.0 RC1, any user who can edit their own user profile or any other document can execute arbitrary script macros… |
W tym tygodniu | 9,9 | 0,64 % |
Źródła i pokrycie danych
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.
NVD · publikacjeOpóźnione lub nieustalone
NVD · aktualizacjeOpóźnione lub nieustalone
CISA KEVOstatnie przetworzenie zakończone
FIRST EPSSOpóźnione lub nieustaloneData modelu znajduje się przy rekordzie.