Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Jenkins w wersjach 2.415 i wcześniejszych oraz LTS 2.401.2 i wcześniejszych nie sanitizuje ani nie koduje poprawnie adresów URL w logach budowy, co prowadzi do podatności na przechowywane ataki XSS, które mogą być wykorzystywane przez atakujących mających kontrolę nad zawartością logów budowy.
Wtyczka Space w JetBrains IntelliJ IDEA przed wersją 2023.2 żądała nadmiernych uprawnień.
emlog w wersji 2.1.9 jest podatny na usuwanie dowolnych plików poprzez admin emplate.php.
W PaddlePaddle przed wersją 2.5.0 występuje podatność FPE w funkcji paddle.trace, która może prowadzić do awarii w czasie wykonywania oraz odmowy usługi.
W PaddlePaddle przed wersją 2.5.0 występuje dereferencja wskaźnika null w funkcji paddle.flip, co prowadzi do awarii w czasie wykonywania oraz odmowy usługi.
W ePO przed wersją 5.10 SP1 Update 1 występuje podatność na refleksyjny atak XSS, która pozwala zdalnemu, nieautoryzowanemu atakującemu na potencjalne uzyskanie dostępu do sesji administratora ePO. Atak wymaga, aby uwierzytelniony administrator ePO kliknął w starannie przygotowany link.
W Directus, od wersji 10.3.0 do 10.5.0, filtry uprawnień nie są prawidłowo sprawdzane podczas korzystania z subskrypcji GraphQL. To prowadzi do sytuacji, w której nieautoryzowani użytkownicy mogą otrzymywać zdarzenia, do których nie powinni mieć dostępu.
TDengine to otwartoźródłowa baza danych zoptymalizowana dla urządzeń Internetu Rzeczy. Przed wersją 3.0.7.1, baza danych TDengine ulegała awarii podczas wykonywania zagnieżdżonych zapytań UDF.
Oprogramowanie serwera plików copyparty przed wersją 1.8.7 zawiera podatność na refleksyjny atak XSS poprzez parametry URL `?k304=...` oraz `?setck=...`. Może to prowadzić do przenoszenia lub usuwania istniejących plików na serwerze, a także do przesyłania nowych plików, wykorzystując konto osoby, która kliknie złośliwy link.
Apptainer to otwartoźródłowa platforma kontenerowa. W wersji 1.2.0-rc.2 wprowadzono nieskuteczne obniżenie uprawnień podczas żądania konfiguracji sieci kontenera, co pozwala na wykonywanie kolejnych funkcji z uprawnieniami roota.
TYPO3 HTML Sanitizer, narzędzie do sanitizacji HTML, ma problem z kodowaniem w warstwie serializacji, co pozwala na niepoprawne kodowanie złośliwego kodu osadzonego w elemencie `noscript`. Chociaż `noscript` jest domyślnie wyłączony, może być włączony w niestandardowych konfiguracjach, co umożliwia obejście mechanizmu ochrony przed XSS.
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Vyper to język programowania w Pythonie, który celuje w Ethereum Virtual Machine (EVM). Przed wersją 0.3.10, prekompilacja ecrecover nie wypełniała bufora wyjściowego, jeśli podpis nie był weryfikowany, co mogło prowadzić do fałszywych wyników weryfikacji podpisu.
DataEase to narzędzie do analizy wizualizacji danych, które przed wersją 1.18.9 miało podatność na przechowywane ataki typu cross-site scripting (XSS) w panelu i zbiorze danych. Podatność została naprawiona w wersji 1.18.9.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie bufora na stercie w funkcji pe_as16() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto podatność typu use after free w pamięci sterty, która występuje w funkcji add_pe_exported_sym() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie stosu w funkcji ada_decode w pliku /gdb/ada-lang.c.
Contao to system zarządzania treścią typu open source. W wersjach od 4.0.0 do 4.9.42, 4.13.28 i 5.1.10 istnieje możliwość wstrzyknięcia złośliwego kodu przez nieufnych użytkowników backendu do pól nagłówków, co skutkuje jego wykonaniem zarówno w podglądzie elementu, jak i na stronie internetowej.
Podatność w Envoy, która powoduje awarię aplikacji przy usunięciu nagłówka `origin` między `decodeHeaders` a `encodeHeaders`. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
W Envoy, przed wersjami 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12, logi dostępu gRPC korzystające z globalnego zakresu słuchacza mogą powodować awarię `use-after-free` podczas opróżniania słuchacza. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.