Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze passApply kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi zatwierdzać wnioski o uprawnienia administratora dzierżawy. Atakujący może złożyć wniosek przez doApplyTenantPackUser i zatwierdzić go przez PUT /sys/tenant/passApply, uzyskując uprawnienia administratora w dowolnej dzierżawie.
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie saveDeptRolePermission kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować uprawnienia ról działów. Atakujący z niskimi uprawnieniami może przesłać wartości roleId i permissionIds, aby nadać dowolne uprawnienia do menu lub przycisków, eskalując uprawnienia lub odbierając je innym użytkownikom.
JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać wpisy dziennika audytu systemu. Atakujący z niskimi uprawnieniami może wysłać żądanie DELETE z parametrem ids ustawionym na allclear, aby wyczyścić całą tabelę sys_log i zatrzeć ślady audytu wszystkich użytkowników.
Motyw Educavo w wersjach do 3.4.2 zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na wstrzyknięcie złośliwego skryptu do strony.
Wtyczka LMS w wersjach do 8.3 zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na wstrzyknięcie złośliwego skryptu do strony.
Wtyczka FoodBakery w wersjach do 4.6 zawiera podatność umożliwiającą subskrybentowi usunięcie dowolnego pliku. Podatność pozwala użytkownikowi z niskimi uprawnieniami na usuwanie plików, do których nie powinien mieć dostępu.
Motyw Ambient w wersjach do 1.7 zawiera podatność Local File Inclusion (LFI), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na dołączenie lokalnych plików serwera do odpowiedzi aplikacji.
Wtyczka Forminator w wersjach do 1.57.3 włącznie pozwala nieuwierzytelnionemu atakującemu na usuwanie dowolnych treści w serwisie WordPress. Luka nie wymaga zalogowania ani specjalnych uprawnień.
Wtyczka WooCommerce Multilingual & Multicurrency w wersjach do 5.5.8 włącznie zawiera lukę PHP Object Injection dostępną dla użytkownika z rolą shop managera. Może to prowadzić do wykonania niebezpiecznego kodu lub dalszej eskalacji uprawnień.
Wtyczka Barcode Scanner with Inventory & Order Manager w wersjach do 1.13.1 włącznie ma wadę kontroli dostępu, którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na dostęp do funkcji lub danych, które powinny być chronione.
Wtyczka Barcode Scanner with Inventory & Order Manager w wersjach do 1.13.1 włącznie jest podatna na wstrzyknięcie SQL, które może wykorzystać użytkownik z rolą subskrybenta. Luka umożliwia manipulację zapytaniami do bazy danych.
Wtyczka Barcode Scanner with Inventory & Order Manager w wersjach do 1.13.1 włącznie zawiera lukę Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na wstrzyknięcie złośliwego skryptu do stron serwisu.
Motyw KuteShop w wersjach do 4.2.9 włącznie jest podatny na lokalne włączenie pliku (Local File Inclusion) możliwe do wykorzystania bez uwierzytelnienia. Atakujący może wczytać pliki z serwera.
Motyw KuteShop w wersjach do 4.2.9 włącznie zawiera lukę Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Umożliwia ona wstrzyknięcie złośliwego skryptu do stron serwisu.
Motyw Boutique w wersjach do 2.3.3 włącznie jest podatny na lokalne włączenie pliku (Local File Inclusion) możliwe do wykorzystania bez uwierzytelnienia. Atakujący może wczytać pliki z serwera.
Motyw Biolife w wersjach do 3.2.3 włącznie jest podatny na lokalne włączenie pliku (Local File Inclusion) możliwe do wykorzystania bez uwierzytelnienia. Atakujący może wczytać pliki z serwera.
Motyw Biolife w wersjach do 3.2.3 włącznie zawiera lukę Cross Site Scripting (XSS) możliwą do wykorzystania bez uwierzytelnienia. Umożliwia ona wstrzyknięcie złośliwego skryptu do stron serwisu.
Nieuwierzytelnione podatność Local File Inclusion (LFI) w TechOne w wersjach do 3.0.3. Pozwala atakującemu na odczyt plików z serwera bez logowania.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w TechOne w wersjach do 3.0.3. Pozwala atakującemu na wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.
Nieuwierzytelnione podatność Local File Inclusion (LFI) w Armania w wersjach do 1.4.8. Pozwala atakującemu na odczyt plików z serwera bez logowania.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS