Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wersje Iagona ScrutisWeb 2.1.37 i wcześniejsze są podatne na lukę kryptograficzną, która może umożliwić nieautoryzowanemu użytkownikowi odszyfrowanie zaszyfrowanych haseł do postaci tekstu jawnego.
Wtyczka Hijiri Custom Post Type Generator w wersjach do 2.4.2 zawiera podatność na odzwierciedlone ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).
Podatność w matrix-react-sdk pozwala na wstrzyknięcie złośliwego kodu przez funkcję Eksportuj czat, co prowadzi do przechowywanego ataku XSS. Atakujący może wykorzystać tę lukę do wycieku treści wiadomości, mimo że wpływ jest ograniczony do kodu uruchamianego z pochodzenia `null`.
W wersji DPA 2023.2 istniała możliwość ataku XSS z powodu niewystarczającej walidacji danych wejściowych.
Wtyczka MagePeople Team Event Manager i Tickets Selling Plugin dla WooCommerce w wersjach do 3.9.5 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (editor+).
Wtyczka Replace Word autorstwa Davida Pokorny w wersjach do 2.1 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka PluginPress Shortcode IMDB w wersjach do 6.0.8 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka WPAdmin AWS CDN w wersjach do 2.0.13 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
Wtyczka RadiusTheme Classified Listing w wersjach do 2.4.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka Media Library Helper w wersjach do 1.2.0 zawiera podatność typu Cross-Site Request Forgery (CSRF). Umożliwia to atakującym wysyłanie nieautoryzowanych żądań w imieniu użytkowników.
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na ujawnienie klucza API bez uwierzytelnienia w wersjach do 1.3.70 włącznie. Klucz API jest dodawany do kodu źródłowego każdej strony korzystającej z bloku MailChimp, co umożliwia nieautoryzowanym atakującym uzyskanie klucza API MailChimp.
Kilka motywów WordPress od DeoThemes jest podatnych na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez okruszki w różnych wersjach z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach.
Wtyczka ProfileGrid dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'pm_upload_csv' w wersjach do 5.5.1 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym uprawnienia na poziomie subskrybenta lub wyższym, importowanie nowych użytkowników oraz aktualizowanie istniejących.
W podatności CVE-2023-34143 występuje niewłaściwa walidacja certyfikatu z niezgodnością hosta w Hitachi Device Manager na systemach Windows i Linux. Umożliwia to atak typu Man in the Middle, który może prowadzić do przechwycenia danych.
Open Enclave SDK w wersji 0.19.3 naprawia dwie podatności. Pierwsza dotyczy braku odpowiedniego oczyszczania rejestru `MXCSR` przy wejściu do enclave, co może prowadzić do ataków MCDT. Druga dotyczy braku oczyszczania flagi `RFLAGS.AC`, co umożliwia atakującym śledzenie niepoprawnych dostępu do pamięci.
W systemie Linux przed wersją 6.2.12 odkryto problem w funkcji set_con2fb_map w pliku fbcon.c. Problem polega na tym, że przypisanie występuje tylko dla pierwszego vc, co może prowadzić do desynchronizacji tablic fbcon_registered_fb i fbcon_display.
OpenRefine to darmowe, otwarte narzędzie do przetwarzania danych, które zawiera podatność umożliwiającą wykonanie dowolnego kodu w kontekście procesu OpenRefine. Złośliwy plik tar projektu OpenRefine może zostać wykorzystany, jeśli użytkownik zgodzi się na jego import.
Problem w wtyczce emqx_sn EMQX v4.3.8 umożliwia atakującym wykonanie ataku typu directory traversal poprzez przesłanie spreparowanego pliku .txt.
W odkrytym commicie faust ee39a19 zidentyfikowano przepełnienie stosu w komponencie boxppShared::print() w pliku /boxes/ppbox.cpp.
Wykryto podatność FPE w master commit e4c878 w komponencie combine_inner w pliku /pixman-combine-float.c.