Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wszystkie wersje pakietu crow są podatne na dzielenie odpowiedzi HTTP (HTTP Response Splitting), gdy niezaufane dane wejściowe użytkownika są używane do budowania wartości nagłówków. Funkcje set_header i add_header nie oczyszczają poprawnie wartości nagłówków przed wstrzyknięciem CRLF, co pozwala atakującemu dodać znaki \r\n i wstrzyknąć złośliwą treść.
Podatność SQL Injection w funkcji wyszukiwania na stronie tickets.php w osTicket 1.15.x umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez kombinację parametrów URL 'keywords' i 'topic_id'.
Podatność w Embedded Service Router (ESR) Cisco ISE może pozwolić uwierzytelnionemu lokalnemu atakującemu na odczyt, zapis lub usunięcie dowolnych plików w systemie operacyjnym oraz eskalację uprawnień do roota. Wynika ona z niewłaściwego zarządzania uprawnieniami w konsoli ESR, a atakujący może wysłać spreparowane żądanie do urządzenia.
W systemie REDCap 13.1.35 odkryto podatność na trwały atak XSS w funkcji tworzenia nowego projektu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu projektu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
Podatność w funkcji zdalnego dostępu VPN w oprogramowaniu Cisco ASA i Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu atakującemu przeprowadzenie ataku brute force w celu znalezienia prawidłowych nazw użytkownika i haseł lub uwierzytelnionemu atakującemu nawiązanie sesji clientless SSL VPN z nieautoryzowanym użytkownikiem. Problem wynika z nieprawidłowego rozdzielenia uwierzytelniania, autoryzacji i rozliczania (AAA) między funkcją VPN zdalnego dostępu a funkcjami zarządzania HTTPS i VPN site-to-site.
W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.
W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.
W vowifiservice występuje możliwe brakujące sprawdzenie uprawnień, co może prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.
W vowifiservice występuje możliwe niedopatrzenie w sprawdzaniu uprawnień. Może to prowadzić do lokalnego ujawnienia informacji bez dodatkowych uprawnień wykonawczych.
W systemie zarządzania zapasami SourceCodester w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'page' w pliku index.php prowadzi do włączenia plików, co umożliwia zdalne przeprowadzenie ataku.
W DedeCMS w wersji 5.7.110 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /uploads/tags.php. Manipulacja argumentem tag_alias prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w platformie zarządzania Byzoro Smart S45F Multi-Service Secure Gateway do wersji 20230822. Problem dotyczy nieznanej funkcjonalności pliku /importexport.php, co prowadzi do wstrzyknięcia SQL.
W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego przetwarzania pliku ?r=dashboard/user/export&uid=X. Manipulacja tym plikiem prowadzi do wstrzyknięcia SQL.
W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku ?r=diary/default/del komponentu Delete Logs Handler. Manipulacja tą podatnością prowadzi do ataku typu SQL injection.
W systemie IBOS OA 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanej części pliku ?r=email/api/delDraft&archiveId=0 w komponencie Delete Draft Handler. Manipulacja ta prowadzi do wstrzyknięcia SQL.
W platformie zarządzania Byzoro Smart S85F do wersji 20230820 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /sysmanage/updateos.php, która umożliwia nieograniczone przesyłanie plików poprzez manipulację argumentem 1_file_upload.
Niepoprawna walidacja certyfikatów w InvokeHTTP w Apache NiFi MiNiFi C++ w wersjach 0.13 do 0.14 umożliwia pośrednikowi przedstawienie sfałszowanego certyfikatu podczas negocjacji TLS. Właściwość Disable Peer Verification została domyślnie wyłączona, co skutkuje brakiem weryfikacji przy użyciu HTTPS.
Wersja 14.5 oprogramowania ProVide firmy Farsight Tech Nordic AB zawiera wiele podatności typu XSS (CWE-79), które mogą być wykorzystane przez użytkownika z uprawnieniami administratora.
Wtyczka Exifography w wersjach do 1.3.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.
Wtyczka Visualmodo Borderless w wersjach do 1.4.8 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników z uprawnieniami administratora.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS