漏洞目录

15,219 份公开披露报告，按弱点、厂商与发现过程组织。每条记录保留原文溯源，不做无依据的复述。

筛选结果 203 份 · 本页赏金 $12,890 · 2024 年 · 仅含 CVE · 清除筛选

漏洞类别

• 跨站脚本2,498
• 跨站请求伪造519
• 密码学缺陷463
• 注入与走私350
• 不安全的直接对象引用364
• 开放重定向390
• SQL 注入328
• 服务端请求伪造294
• 其他弱点1,121
• 路径遍历286
• 代码执行803
• 内存破坏924

弱点目录

• 信息泄露1,447信息泄露
• XSS（通用）985跨站脚本
• Unlabeled967其他弱点
• 认证缺陷（通用）790身份认证
• 访问控制缺陷（通用）772访问控制
• 反射型 XSS661跨站脚本
• 存储型 XSS643跨站脚本
• 违反安全设计原则（按标题归类）531错误配置
• 资源消耗失控526拒绝服务
• 跨站请求伪造511跨站请求伪造
• 权限提升455访问控制
• 业务逻辑错误392业务逻辑
• IDOR359不安全的直接对象引用
• 代码注入344代码执行
• 开放重定向344开放重定向
• 内存破坏（通用）320内存破坏
• SQL 注入313SQL 注入
• SSRF293服务端请求伪造
• 路径遍历243路径遍历
• 命令注入（通用）234代码执行
• 密码学问题（通用）188密码学缺陷
• DOM 型 XSS178跨站脚本
• Unlabeled145信息泄露
• 点击劫持140错误配置

最新报告

1. Request Smuggling in Apache Tomcat (Important, CVE-2023-45648)Internet Bug Bounty · 注入与走私 · 2024-02-07 · CVE-2023-45648
   $4,660中危
2. CVE-2024-0853: OCSP verification bypass with TLS session reusecurl · 密码学缺陷 · 2024-01-31 · CVE-2024-0853
   无赏金低危
3. CVE-2023-49920: Apache Airflow: Missing CSRF protection on DAG/triggerInternet Bug Bounty · 跨站请求伪造 · 2024-01-09 · CVE-2023-49920
   无赏金低危
4. Command Injection using malicious hostname in expanded proxycommandInternet Bug Bounty · 代码执行 · 2024-02-28 · CVE-2023-6004
   $540低危
5. Re-emergence of Security Vulnerability in Nextcloud Version 28 Previously Fixed in 25.0.4Nextcloud · 访问控制 · 2024-07-14 · CVE-2024-37884
   $500低危
6. Can reshare read&share only folder with more permissionsNextcloud · 访问控制 · 2024-07-14 · CVE-2024-37882
   $750中危
7. see card comments after remove shared boardNextcloud · 访问控制 · 2024-06-18 · CVE-2024-37883
   无赏金低危
8. Denial of Service by resource exhaustion in fetch() brotli decodingNode.js · 拒绝服务 · 2024-03-16 · CVE-2024-22025
   无赏金低危
9. ASAR Integrity bypass via filetype confusionInternet Bug Bounty · 业务逻辑 · 2024-01-20 · CVE-2023-44402
   $2,540低危
10. Node.js is vulnerable to the Marvin Attack (timing variant of the Bleichenbacher attack against PKCS#1 v1.5 padding)Node.js · 密码学缺陷 · 2024-02-15 · CVE-2023-46809
    无赏金低危
11. Open redirect in user_saml via RelayState parameterNextcloud · 开放重定向 · 2024-01-18 · CVE-2024-22400
    无赏金低危
12. Multiple permission model bypasses due to improper path traversal sequence sanitizationNode.js · 路径遍历 · 2024-02-15 · CVE-2024-21891
    无赏金中危
13. Improper handling of wildcards in --allow-fs-read and --allow-fs-writeNode.js · 访问控制 · 2024-02-15 · CVE-2024-21890
    无赏金低危
14. Path traversal through path stored in Uint8Array in Node.js 20Internet Bug Bounty · 路径遍历 · 2024-01-20 · CVE-2023-39332
    $3,495中危
15. CVE-2023-46132Linux Foundation Decentralized Trust · 代码执行 · 2024-01-08 · CVE-2023-46132
    无赏金中危
16. Notes app can be tricked into using a received share created before the user logged inNextcloud · 业务逻辑 · 2024-06-19 · CVE-2024-37317
    无赏金低危
17. Improper handling of request URLs in nextcloud/guests allows guest users to bypass app allowlistNextcloud · 其他弱点 · 2024-01-18 · CVE-2024-22402
    无赏金低危
18. Non-admin users can reset app allowlist to the defaultNextcloud · 业务逻辑 · 2024-01-18 · CVE-2024-22401
    无赏金低危
19. Authentication bypass in Global Site Selector allows an attacker to log in as any userNextcloud · 身份认证 · 2024-01-18 · CVE-2024-22212
    无赏金高危
20. Can download files by zipping the folderNextcloud · 访问控制 · 2024-02-17 · CVE-2024-22404
    无赏金低危
21. Self XSS in Tag name pattern field /<username>/<reponame>/settings/tag_protection/newGitHub · 跨站脚本 · 2024-04-15 · CVE-2024-1084
    无赏金低危
22. Cookie headers are not cleared in cross-domain redirect in undici-fetchInternet Bug Bounty · 信息泄露 · 2024-01-20 · CVE-2023-45143
    $405低危
23. Code injection and privilege escalation through Linux capabilitiesNode.js · 访问控制 · 2024-02-15 · CVE-2024-21892
    无赏金中危
24. HTTP Request Smuggling via Content Length ObfuscationNode.js · 注入与走私 · 2024-05-03 · CVE-2024-27982
    无赏金低危
25. http: Reading unprocessed HTTP request with unbounded chunk extension allows DoS attacksNode.js · 拒绝服务 · 2024-02-15 · CVE-2024-22019
    无赏金中危