Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie bufora na stercie w funkcji pe_as16() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto podatność typu use after free w pamięci sterty, która występuje w funkcji add_pe_exported_sym() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie stosu w funkcji ada_decode w pliku /gdb/ada-lang.c.
Contao to system zarządzania treścią typu open source. W wersjach od 4.0.0 do 4.9.42, 4.13.28 i 5.1.10 istnieje możliwość wstrzyknięcia złośliwego kodu przez nieufnych użytkowników backendu do pól nagłówków, co skutkuje jego wykonaniem zarówno w podglądzie elementu, jak i na stronie internetowej.
Podatność w Envoy, która powoduje awarię aplikacji przy usunięciu nagłówka `origin` między `decodeHeaders` a `encodeHeaders`. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
W Envoy, przed wersjami 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12, logi dostępu gRPC korzystające z globalnego zakresu słuchacza mogą powodować awarię `use-after-free` podczas opróżniania słuchacza. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
Tuleap przed wersją 14.10.99.4 (Community Edition) oraz przed wersjami 14.10-2 i 14.9-5 (Enterprise Edition) nieprawidłowo obsługuje treści wyświetlane w polach kart, co może prowadzić do wykonania niekontrolowanego kodu przez złośliwego użytkownika.
W jądrze Linuxa znaleziono lukę w frameworku IP do transformacji pakietów (podsystem XFRM). Problem ten może umożliwić złośliwemu użytkownikowi z uprawnieniami CAP_NET_ADMIN wykonanie odczytu poza zakresem 4 bajtów z XFRMA_MTIMER_THRESH podczas analizy atrybutów netlink, co może prowadzić do wycieku wrażliwych danych z pamięci do przestrzeni użytkownika.
W systemie Linux znaleziono lukę w frameworku IP do transformacji pakietów (podsystem XFRM). Problem ten może pozwolić złośliwemu użytkownikowi z uprawnieniami CAP_NET_ADMIN na bezpośrednie odwołanie się do wskaźnika NULL w funkcji xfrm_update_ae_params(), co może prowadzić do awarii jądra i odmowy usługi.
Wtyczka Apache Felix Healthcheck Webconsole w wersji 2.0.2 i wcześniejszych zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
W wersjach JetBrains TeamCity przed 2023.05.2 istniała możliwość przeprowadzenia ataku XSS poprzez integrację z GitHubem.
W wersjach JetBrains TeamCity przed 2023.05.2 istniała możliwość przeprowadzenia ataku ReDoS poprzez integrację z trackerami problemów.
W JetBrains TeamCity przed wersją 2023.05.2 token z ograniczonymi uprawnieniami mógł być użyty do uzyskania pełnego dostępu do konta.
Strapi, otwartoźródłowy system zarządzania treścią, przed wersją 4.10.8 pozwalał na publiczne udostępnienie atrybutów typu treści przez każdego, kto korzysta z systemu. W wyniku tej podatności, użytkownicy mogli nieświadomie usunąć mechanizm ochrony atrybutów prywatnych, co prowadziło do ujawnienia wrażliwych informacji.
Wtyczka MaxButtons w wersjach do 9.5.3 zawiera podatność typu Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
Wtyczka GrandSlambert Login Configurator w wersjach do 2.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).
W openstack-neutron znaleziono flawę dotyczącą niekontrolowanego zużycia zasobów. Umożliwia to zdalnemu, uwierzytelnionemu użytkownikowi zapytanie o listę grup zabezpieczeń dla nieprawidłowego projektu, co prowadzi do tworzenia zasobów nieograniczonych przez kwotę użytkownika.
Możliwość enumeracji nazw użytkowników poprzez obejście CAPTCHA w lokalnym rozwiązaniu SureMDM na systemie Windows pozwala atakującemu na uzyskanie informacji o lokalnych użytkownikach za pomocą komunikatów o błędach.
W podatności 'Exposure of Resource to Wrong Sphere' w Apache InLong (od wersji 1.4.0 do 1.7.0) atakujący może wykorzystać ogólnych użytkowników do usuwania i aktualizacji procesów, które powinny być dostępne tylko dla administratorów.
W systemie zarządzania salonem piękności Campcodes w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem contactno w pliku /admin/edit-accepted-appointment.php prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.