KATALOG INFORMACJI
Znajdź podatności, zrozum powód priorytetu i sprawdź informacje u źródła.
Pełny dostępny katalog: publikacje z ostatnich 365 dni oraz całe dostępne KEV. Dopasowanie kategorii lub producenta nie potwierdza podatności konkretnej wersji produktu.
DeepChat is an open-source AI chat platform that supports cloud models and LLMs. Versions 0.5.1 and below are vulnerable to XSS attacks through improperly sanitized Mermaid content. The recent security patch for MermaidArtifact.vue is insufficient and can be bypassed using unquoted HTML attributes…
Błąd konfiguracji CORS w open-webui pozwala na wykonanie dowolnego kodu przez atakujące strony.
Brak autoryzacji w Argo CD pozwala na wyciek danych tajnych z Kubernetes.
Luka w SiYuan umożliwia zdalne wykonanie kodu przez złośliwą stronę internetową.
Wykorzystanie symbolicznych linków w Budibase pozwala na nieautoryzowany dostęp do plików serwera.
esm.sh is a nobuild content delivery network(CDN) for modern web development. Prior to version 136, The esm.sh CDN service contains a Template Literal Injection vulnerability (CWE-94) in its CSS-to-JavaScript module conversion feature. When a CSS file is requested with the ?module query parameter,…
5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. In versions 0.15.2 and prior, an RCE vulnerability exists in useMarkdown.ts, where the markdown-it-mermaid plugin is initialized with securityLevel: 'loose'. This configuration explicitly permits…
CSRF i SSRF w Eclipse GlassFish umożliwiają przejęcie domeny przez ujawnienie tokena administratora.
Wykorzystanie podatności w aplikacji Stackfield umożliwia zapis dowolnych danych w systemie ofiary.
Nieprawidłowa walidacja pochodzenia w MLflow pozwala na zdalne wykonanie poleceń.
W Dify występuje luka przejścia ścieżki, umożliwiająca dostęp do wewnętrznych punktów API.
Luka w module załączników Frappe Framework umożliwia zdalne wykonanie kodu przez przesłanie złośliwego pliku XML.
Otwarte przekierowanie w Hoppscotch umożliwia kradzież tokenów i przejęcie konta ofiary.
Wykonanie zdalnego kodu w Frigate umożliwia administratorom pełną kontrolę nad systemem.
W Langflow przed wersją 1.9.2 atakujący może odczytać dowolny plik z systemu.
Błąd w Prowler umożliwia przejęcie konta międzytenantowego przez złośliwy SAML IdP.
Brak autoryzacji w Aqara Cloud Production API pozwala na zdalne przejęcie konta.
Wykonanie zdalnego kodu w Dolibarr ERP CRM umożliwia atakującym uruchomienie dowolnych poleceń.
Błąd w Dozzle umożliwia kradzież sesji WebSocket i dostęp do kontenerów.
Podatność XSS w AnythingLLM umożliwia zdalne wykonanie kodu na hoście z powodu nieprawidłowej konfiguracji Electron i braku sanitizacji.
XSS w Notesnook pozwala na zdalne wykonanie kodu w aplikacji desktopowej.
Luka masowego przypisania w FlowiseAI pozwala na naruszenie izolacji tenantów w środowiskach wielo-obsługowych.
Luka masowego przypisania w FlowiseAI pozwala na manipulację identyfikatorem przestrzeni roboczej.
Brak walidacji ścieżek w PraisonAI umożliwia atakującemu zapisanie plików i wykonanie dowolnego kodu.
Atak na SCP w Wish umożliwia odczyt i zapis plików poza katalogiem głównym.
| Producent / podatność | Opis | Rekomendacja i powód | CVSS | EPSS | Daty źródłowe | Zapis |
|---|---|---|---|---|---|---|
| DeepChat is an open-source AI chat platform that supports cloud models and LLMs. | DeepChat is an open-source AI chat platform that supports cloud models and LLMs. Versions 0.5.1 and below are vulnerable to XSS attacks through improperly sanitized Mermaid content. The recent security patch for MermaidArtifact.vue is insufficient and can be bypassed using unquoted HTML attributes… |
Pilne działanie | 9,6 | 0,58 % | ||
| Błąd konfiguracji CORS w open-webui pozwala na wykonanie dowolnego kodu przez atakujące strony. | Błąd konfiguracji CORS w open-webui pozwala na wykonanie dowolnego kodu przez atakujące strony. |
Pilne działanie | 9,6 | 0,52 % | ||
| Brak autoryzacji w Argo CD pozwala na wyciek danych tajnych z Kubernetes. | Brak autoryzacji w Argo CD pozwala na wyciek danych tajnych z Kubernetes. |
Pilne działanie | 9,6 | 0,51 % | ||
| Luka w SiYuan umożliwia zdalne wykonanie kodu przez złośliwą stronę internetową. | Luka w SiYuan umożliwia zdalne wykonanie kodu przez złośliwą stronę internetową. |
Pilne działanie | 9,6 | 0,5 % | ||
| Wykorzystanie symbolicznych linków w Budibase pozwala na nieautoryzowany dostęp do plików serwera. | Wykorzystanie symbolicznych linków w Budibase pozwala na nieautoryzowany dostęp do plików serwera. |
Pilne działanie | 9,6 | 0,49 % | ||
| esm.sh is a nobuild content delivery network(CDN) for modern web development. | esm.sh is a nobuild content delivery network(CDN) for modern web development. Prior to version 136, The esm.sh CDN service contains a Template Literal Injection vulnerability (CWE-94) in its CSS-to-JavaScript module conversion feature. When a CSS file is requested with the ?module query parameter,… |
Pilne działanie | 9,6 | 0,48 % | ||
| 5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. | 5ire is a cross-platform desktop artificial intelligence assistant and model context protocol client. In versions 0.15.2 and prior, an RCE vulnerability exists in useMarkdown.ts, where the markdown-it-mermaid plugin is initialized with securityLevel: 'loose'. This configuration explicitly permits… |
Pilne działanie | 9,6 | 0,47 % | ||
| CSRF i SSRF w Eclipse GlassFish umożliwiają przejęcie domeny przez ujawnienie tokena administratora. | CSRF i SSRF w Eclipse GlassFish umożliwiają przejęcie domeny przez ujawnienie tokena administratora. |
Pilne działanie | 9,6 | 0,43 % | ||
| Wykorzystanie podatności w aplikacji Stackfield umożliwia zapis dowolnych danych w systemie ofiary. | Wykorzystanie podatności w aplikacji Stackfield umożliwia zapis dowolnych danych w systemie ofiary. |
Pilne działanie | 9,6 | 0,42 % | ||
| Nieprawidłowa walidacja pochodzenia w MLflow pozwala na zdalne wykonanie poleceń. | Nieprawidłowa walidacja pochodzenia w MLflow pozwala na zdalne wykonanie poleceń. |
Pilne działanie | 9,6 | 0,41 % | ||
| W Dify występuje luka przejścia ścieżki, umożliwiająca dostęp do wewnętrznych punktów API. | W Dify występuje luka przejścia ścieżki, umożliwiająca dostęp do wewnętrznych punktów API. |
Pilne działanie | 9,3 | 1,89 % | ||
| Luka w module załączników Frappe Framework umożliwia zdalne wykonanie kodu przez przesłanie złośliwego pliku XML. | Luka w module załączników Frappe Framework umożliwia zdalne wykonanie kodu przez przesłanie złośliwego pliku XML. |
Pilne działanie | 9,6 | 0,39 % | ||
| Otwarte przekierowanie w Hoppscotch umożliwia kradzież tokenów i przejęcie konta ofiary. | Otwarte przekierowanie w Hoppscotch umożliwia kradzież tokenów i przejęcie konta ofiary. |
Pilne działanie | 9,6 | 0,37 % | ||
| Wykonanie zdalnego kodu w Frigate umożliwia administratorom pełną kontrolę nad systemem. | Wykonanie zdalnego kodu w Frigate umożliwia administratorom pełną kontrolę nad systemem. |
Pilne działanie | 9,1 | 2,87 % | ||
| W Langflow przed wersją 1.9.2 atakujący może odczytać dowolny plik z systemu. | W Langflow przed wersją 1.9.2 atakujący może odczytać dowolny plik z systemu. |
Pilne działanie | 9,6 | 0,36 % | ||
| Błąd w Prowler umożliwia przejęcie konta międzytenantowego przez złośliwy SAML IdP. | Błąd w Prowler umożliwia przejęcie konta międzytenantowego przez złośliwy SAML IdP. |
Pilne działanie | 9,6 | 0,32 % | ||
| Brak autoryzacji w Aqara Cloud Production API pozwala na zdalne przejęcie konta. | Brak autoryzacji w Aqara Cloud Production API pozwala na zdalne przejęcie konta. |
Pilne działanie | 9,6 | 0,24 % | ||
| Wykonanie zdalnego kodu w Dolibarr ERP CRM umożliwia atakującym uruchomienie dowolnych poleceń. | Wykonanie zdalnego kodu w Dolibarr ERP CRM umożliwia atakującym uruchomienie dowolnych poleceń. |
Pilne działanie | 9,3 | 1,7 % | ||
| Błąd w Dozzle umożliwia kradzież sesji WebSocket i dostęp do kontenerów. | Błąd w Dozzle umożliwia kradzież sesji WebSocket i dostęp do kontenerów. |
Pilne działanie | 9,6 | 0,19 % | ||
| Podatność XSS w AnythingLLM umożliwia zdalne wykonanie kodu na hoście z powodu nieprawidłowej konfiguracji Electron i braku sanitizacji. | Podatność XSS w AnythingLLM umożliwia zdalne wykonanie kodu na hoście z powodu nieprawidłowej konfiguracji Electron i braku sanitizacji. |
Pilne działanie | 9,6 | 0,16 % | ||
| XSS w Notesnook pozwala na zdalne wykonanie kodu w aplikacji desktopowej. | XSS w Notesnook pozwala na zdalne wykonanie kodu w aplikacji desktopowej. |
Pilne działanie | 9,6 | 0,14 % | ||
| Luka masowego przypisania w FlowiseAI pozwala na naruszenie izolacji tenantów w środowiskach wielo-obsługowych. | Luka masowego przypisania w FlowiseAI pozwala na naruszenie izolacji tenantów w środowiskach wielo-obsługowych. |
Pilne działanie | 9,6 | 0,08 % | ||
| Luka masowego przypisania w FlowiseAI pozwala na manipulację identyfikatorem przestrzeni roboczej. | Luka masowego przypisania w FlowiseAI pozwala na manipulację identyfikatorem przestrzeni roboczej. |
Pilne działanie | 9,6 | 0,08 % | ||
| Brak walidacji ścieżek w PraisonAI umożliwia atakującemu zapisanie plików i wykonanie dowolnego kodu. | Brak walidacji ścieżek w PraisonAI umożliwia atakującemu zapisanie plików i wykonanie dowolnego kodu. |
Pilne działanie | 9,6 | 0,07 % | ||
| Atak na SCP w Wish umożliwia odczyt i zapis plików poza katalogiem głównym. | Atak na SCP w Wish umożliwia odczyt i zapis plików poza katalogiem głównym. |
Pilne działanie | 9,6 | 0,06 % |
Zakres katalogu: ostatnie 365 dni oraz wszystkie zachowane KEV.