Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W GitLab CE/EE zidentyfikowano problem, który dotyczy wszystkich wersji od 15.9 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Możliwe było przejęcie GitLab Pages z unikalnymi adresami URL domen, jeśli znano losowy ciąg dodany do adresu.
W PHP Jabbers Cleaning Business 1.0 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem index w pliku /index.php.
W oprogramowaniu PHP Jabbers Night Club Booking Software w wersji 1.0 odkryto podatność, która została oceniona jako problematyczna. Problem dotyczy nieznanego przetwarzania pliku /index.php, co prowadzi do ataków typu cross-site scripting.
W PHP Jabbers Service Booking Script w wersji 1.0 zidentyfikowano podatność, która prowadzi do ataków typu cross-site scripting (XSS) poprzez manipulację argumentem index w pliku /index.php.
W oprogramowaniu PHP Jabbers Shuttle Booking Software w wersji 1.0 zidentyfikowano podatność, która prowadzi do ataków typu cross-site scripting (XSS) poprzez manipulację plikiem /index.php. Atak można przeprowadzić zdalnie.
W repozytorium GitHub answerdev/answer przed wersją v1.1.1 występuje warunek wyścigu w wątku, co może prowadzić do nieprzewidywalnych zachowań aplikacji.
Brak autoryzacji w repozytorium GitHub answerdev/answer przed wersją 1.1.1 może prowadzić do nieautoryzowanego dostępu do zasobów.
W systemie rezerwacji autobusów PHP Jabbers w wersji 1.1 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem index/pickup_id w pliku /index.php.
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto problem z kontrolą dostępu, który umożliwia nieuwierzytelnionym atakującym zdalne otwieranie i zamykanie drzwi zarządzanych przez platformę poprzez wysłanie spreparowanego żądania HTTP.
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych istnieją niektóre trasy API, które wyciekają wrażliwe informacje oraz hasła do użytkowników uzyskujących dostęp do tych tras API.
Wersje 2.08 i wcześniejsze serwera WWW SpiderControl SCADA są podatne na atak typu path traversal. Atakujący z uprawnieniami administratora może nadpisać pliki na serwerze WWW, wykorzystując funkcję przesyłania plików HMI.
W bibliotece ngiflib odkryto naruszenie segmentacji w funkcji SDL_LoadAnimatedGif w pliku ngiflibSDL.c. Podatność ta jest wywoływana podczas uruchamiania programu SDLaffgif.
W wersji ngiflib z commitem fb271 odkryto naruszenie segmentacji w funkcji 'main' w pliku gif2tag.c. Podatność ta jest wywoływana podczas uruchamiania programu gif2tga.
Węzły tekstowe, które nie znajdują się w przestrzeni nazw HTML, są niepoprawnie renderowane dosłownie, co powoduje, że tekst, który powinien być zescapowany, nie jest. Może to prowadzić do ataku XSS.
Podatność Cross Site Scripting (XSS) w nadajniku/wzbudnicy FM GatesAIr Flexiva FAX 150W umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt w panelu aplikacji webowej.
Niektóre platformy F5 BIG-IP z kartami Cavium Nitrox FIPS HSM generują deterministyczne hasło dla konta Crypto User. Przewidywalny charakter hasła umożliwia uwierzytelnionemu użytkownikowi z dostępem TMSH do systemu BIG-IP lub osobie z fizycznym dostępem do FIPS HSM wygenerowanie poprawnego hasła.
W podatności CVE-2023-38423 występuje luka typu cross-site scripting (XSS) w nieujawnionej stronie narzędzia konfiguracyjnego BIG-IP, która pozwala atakującemu na uruchomienie JavaScript w kontekście aktualnie zalogowanego użytkownika.
Zautoryzowany atakujący z uprawnieniami gościa lub wyższymi może spowodować zakończenie procesu iControl SOAP, wysyłając nieujawnione żądania.
Dzienniki audytu w F5OS-A mogą zawierać nieujawnione informacje wrażliwe. Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie są oceniane.
OXID eShop Enterprise Edition w wersjach 6.5.0 – 6.5.2 przed 6.5.3 umożliwia przesyłanie plików z zmodyfikowanymi nagłówkami w obszarze administracyjnym. Atakujący może przesłać plik z zmodyfikowanym nagłówkiem, co prowadzi do ataku typu HTTP Response Splitting.