Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie zarządzania osobami DATEV eG w wersjach od 15.1.0 do 16.1.1 P4 występuje podatność na refleksyjny atak XSS, która umożliwia atakującym kradzież danych logowania użytkowników poprzez wysyłanie spreparowanych linków.
IBM SPSS Modeler na systemie Windows w wersjach 17.0, 18.0, 18.2.2, 18.3, 18.4 i 18.5 wymaga, aby użytkownik końcowy miał dostęp do klucza SSL serwera, co może pozwolić lokalnemu użytkownikowi na odszyfrowanie i uzyskanie wrażliwych informacji.
Blogengine.net w wersji 3.3.8.0 i wcześniejszych jest podatny na atak Open Redirect, co może umożliwić przekierowanie użytkowników do złośliwych stron.
W systemie rejestracji i logowania użytkowników oraz zarządzania użytkownikami w wersji 1.0 odkryto podatność typu cross-site scripting (XSS) w komponencie /admin/search-result.php.
W Broadleaf 5.x i 6.x (w tym 5.2.25-GA i 6.2.6-GA) odkryto podatność typu cross-site scripting (XSS) poprzez rejestrację klienta z wykorzystaniem spreparowanego adresu e-mail. Problem został naprawiony w wersji 6.2.6.1-GA.
W systemie zarządzania szkołą Agro-School Management System w wersji 1.0 zidentyfikowano krytyczną podatność. Manipulacja argumentem test_id w pliku exam-delete.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.
W jądrze Linuxa do wersji 6.1-rc8 odkryto problem związany z brakiem sprawdzenia wartości zwracanej przez funkcję kzalloc() w dpu_crtc_atomic_check, co prowadzi do dereferencji wskaźnika NULL.
Wersja D7.0.88 Enphase Envoy jest podatna na atak typu injection, który może umożliwić atakującemu wykonanie poleceń z uprawnieniami roota.
W systemie SourceCodester Online School Fees System w wersji 1.0 zidentyfikowano krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku ajx.php w komponencie GET Parameter Handler, gdzie manipulacja argumentem name_startsWith prowadzi do wstrzyknięcia SQL.
Wtyczka Flothemes Flo Forms w wersjach do 1.0.40 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników administracyjnych.
Podatność w oprogramowaniu układowym czujnika ruchu Fibaro w wersji 3.4 umożliwia atakującym spowodowanie odmowy usługi (DoS) za pomocą spreparowanej wiadomości Z-Wave.
Podatność w oprogramowaniu układowym Aeotec WallMote Switch w wersji 2.3 umożliwia atakującym spowodowanie odmowy usługi (DoS) za pomocą spreparowanej wiadomości Z-Wave.
Craft CMS w wersjach do 4.4.9 jest podatny na wstrzykiwanie HTML.
Wtyczka Team Heateor Super Socializer w wersjach do 7.13.52 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.
Wtyczka Extra User Details autorstwa Vadym K. w wersjach do 0.5 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).
Wtyczka WP Sticky Social dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.1 włącznie. Brak walidacji nonce w pliku ~/admin/views/admin.php umożliwia nieautoryzowanym atakującym modyfikację ustawień wtyczki oraz wstrzykiwanie złośliwych skryptów webowych poprzez sfałszowane żądanie.
Brak kontroli uprawnień w wtyczce Jenkins Team Concert w wersji 2.4.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read sprawdzenie istnienia pliku na systemie plików kontrolera Jenkins.
W module IPv6 jądra Linux znaleziono błąd, który polega na niespójnym używaniu arg.result w funkcji fib6_rule_lookup. Może to prowadzić do paniki jądra w funkcji fib6_rule_suppress.
PyBB to otwarte oprogramowanie do prowadzenia forów, które zawiera podatność umożliwiającą użytkownikom przesyłanie dowolnych znaczników HTML, co może prowadzić do wykonania złośliwego kodu JavaScript po stronie klienta. Problem został naprawiony w wersji 0.1.1, a użytkownicy powinni zaktualizować swoje oprogramowanie.
Podatność na fałszowanie list zaufanych aplikacji w systemie desktopowym Huawei. Skuteczne wykorzystanie tej podatności może spowodować, że aplikacje stron trzecich ukryją ikony aplikacji na pulpicie, co uniemożliwi ich odinstalowanie.