Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie zarządzania dostawcami w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcji w pliku btn_functions.php komponentu Picture Handler, co prowadzi do nieograniczonego przesyłania plików.
W module układu w konfiguracji SEO w Liferay Portal 7.4.3.70 do 7.4.3.73 oraz Liferay DXP 7.4 aktualizacja 70 do 73 występuje podatność na atak typu cross-site scripting (XSS). Umożliwia ona zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML za pomocą parametru `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`.
W Liferay Portal w wersjach 7.4.3.70 do 7.4.3.76 oraz Liferay DXP w aktualizacji 70 do 76 występuje podatność na otwarte przekierowanie w konfiguracji SEO modułu Layout. Atakujący mogą wykorzystać parametr `_com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURL`, aby przekierować użytkowników do dowolnych zewnętrznych adresów URL.
Grav to system zarządzania treścią oparty na plikach. W wersjach 1.7.42 i wcześniejszych strona '/forgot_password' ma podatność na samorefleksyjne skrypty międzywitrynowe, która może być wykorzystana poprzez wstrzyknięcie skryptu do parametru 'email' w żądaniu.
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
W wersjach od 4.0.0 do 4.2.1 biblioteki ink! występuje błąd związany z nieprawidłowym dekodowaniem wartości zwracanej podczas używania mechaniki wywołań delegowanych. Problem ten dotyczy zarówno `CallBuilder::delegate`, jak i `ink_env::invoke_contract_delegate`.
SoftExpert Excellence Suite w wersji 2.1.9 jest podatny na ataki typu Cross Site Scripting (XSS) poprzez ekrany zapytań.
Windows 7 jest podatny na atak pełnego ślepego przejęcia TCP/IP. Podatność ta występuje w Windows 7 (oraz wcześniejszych wersjach do Windows 8) oraz w każdej implementacji TCP/IP, która jest podatna na atak Idle scan, w tym wiele urządzeń IoT.
Jackson-databind w wersjach do 2.15.2 pozwala atakującym na spowodowanie odmowy usługi lub innego nieokreślonego wpływu poprzez skonstruowany obiekt wykorzystujący cykliczne zależności.
W wersjach fdkaac przed 1.0.5 odkryto przepełnienie bufora w stercie w funkcji caf_info w pliku caf_reader.c.
W wersjach fdkaac przed 1.0.5 zidentyfikowano przepełnienie stosu w funkcji read_callback w pliku src/main.c.
Brak weryfikacji uprawnień w wtyczce Jenkins Digital.ai App Management Publisher w wersji 2.6 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Wtyczka Jenkins Digital.ai App Management Publisher w wersji 2.6 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym łączenie się z określonym przez nich adresem URL, co pozwala na przechwycenie poświadczeń zapisanych w Jenkins.
Wtyczka Jenkins AWS CodeCommit Trigger w wersji 3.0.12 i wcześniejszych nie ogranicza parametru ścieżki nazwy kolejki AWS SQS w punkcie końcowym HTTP, co pozwala atakującym z uprawnieniami Item/Read na uzyskanie dostępu do zawartości dowolnych plików w systemie plików kontrolera Jenkins.
Wtyczka Jenkins Template Workflows w wersji 41.v32d86a_313b_4a i wcześniejszych nie ucieka nazw zadań używanych jako elementy budujące dla zadań szablonów, co prowadzi do podatności na przechowywane ataki XSS.
Wtyczka Jenkins Sonargraph Integration w wersji 5.0.1 i wcześniejszych nie zabezpiecza ścieżki pliku oraz nazwy projektu w formularzu walidacji pola Log file, co prowadzi do podatności na przechowywane ataki typu cross-site scripting.
Wtyczka Jenkins Maven Repository Server w wersji 1.10 i wcześniejszych nie ucieka nazw projektów i nazw budów na stronie Artefaktów Budowy jako Repozytorium Maven, co prowadzi do podatności na przechowywane ataki XSS.
Wtyczka Jenkins Maven Repository Server w wersji 1.10 i wcześniejszych nie ucieka wersji artefaktów budowlanych na stronie Artefaktów Budowlanych jako Repozytorium Maven, co prowadzi do podatności na przechowywane ataki XSS.
W OTCMS w wersjach do 6.62 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /admin/read.php?mudi=getSignal. Manipulacja argumentem signalUrl prowadzi do ataku typu server-side request forgery.
W OTCMS w wersjach do 6.62 odkryto krytyczną podatność, która dotyczy nieznanego kodu. Manipulacja argumentem username/password z użyciem wartości admin prowadzi do wykorzystania twardo zakodowanego hasła.