Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
AMI BMC zawiera podatność w interfejsie API SPX REST, która pozwala atakującemu z odpowiednimi uprawnieniami na dostęp do dowolnych plików, co może prowadzić do ujawnienia informacji.
AMI BMC zawiera podatność w obsłudze IPMI, która pozwala nieautoryzowanemu atakującemu na wykorzystanie pewnych orakli do odgadnięcia prawidłowej nazwy użytkownika, co może prowadzić do ujawnienia informacji.
Doorkeeper, dostawca OAuth 2 dla Ruby on Rails / Grape, przed wersją 5.6.6 automatycznie przetwarzał żądania autoryzacji bez zgody użytkownika dla publicznych klientów, którzy zostali wcześniej zatwierdzeni. To stwarza ryzyko podszywania się pod użytkowników.
W wersjach JetBrains YouTrack przed 2023.1.10518 występowała podatność na przechowywane XSS w silniku renderującym Markdown.
Usługa kontrolera JndiJmsConnectionFactoryProvider oraz procesory ConsumeJMS i PublishJMS w Apache NiFi w wersjach od 1.8.0 do 1.21.0 pozwalają uwierzytelnionemu i autoryzowanemu użytkownikowi na konfigurację właściwości URL i biblioteki, co umożliwia deserializację nieufnych danych z zdalnej lokalizacji.
Wykryto krytyczną podatność w RoadFlow Visual Process Engine .NET Core Mvc 2.13.3, która dotyczy nieznanej funkcjonalności pliku /Log/Query. Manipulacja argumentami sidx/sord prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.
W systemie Chengdu VEC40G 3.0 zidentyfikowano podatność, która umożliwia zdalne wywołanie usługi Denial of Service poprzez manipulację argumentem 'restart' w pliku /send_order.cgi. Wprowadzenie wartości 'reboot' prowadzi do awarii systemu.
W podatności Cross Site Scripting (XSS) w platformie zarządzania AC Centralized Management v1.02.040 firmy Youxun Electronic Equipment (Shanghai) Co., Ltd, atakujący mogą wykonać dowolny kod poprzez przesłanie spreparowanego pliku HTML do interfejsu /upfile.cgi.
EyouCMS w wersji 1.6.2 jest podatny na ataki typu Cross Site Scripting (XSS), co może umożliwić atakującym wstrzykiwanie złośliwego kodu do aplikacji.
W repozytorium GitHub froxlor/froxlor przed wersją 2.1.0 występuje podatność na atak typu Session Fixation.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych.
W repozytorium GitHub owncast/owncast przed wersją 0.1.0 występuje podatność typu Server-Side Request Forgery (SSRF). Atakujący może wykorzystać tę lukę do wysyłania żądań do wewnętrznych zasobów serwera.
W systemie zarządzania rekordami nauczycieli PHPGurukul w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /changeimage.php, gdzie manipulacja argumentem newpic prowadzi do nieograniczonego przesyłania plików.
W podatności Cross Site Scripting (XSS) w urządzeniu D-Link DI-7500G-CI-19.05.29A, atakujący może wykonać dowolny kod poprzez przesłanie spreparowanego pliku HTML do interfejsu /auth_pic.cgi.
Wykryto problem w Progress DataDirect Connect dla ODBC przed wersją 08.02.2770 dla Oracle. W przypadku użycia szyfrowania Oracle Advanced Security (OAS), w przypadku błędu podczas inicjalizacji obiektu szyfrującego, kod przechodzi do innego mechanizmu szyfrowania, który wykorzystuje niebezpieczny generator liczb losowych do generowania klucza prywatnego.
W systemie SourceCodester Lost and Found Information System w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku admin\inquiries\view_inquiry.php. Manipulacja tą funkcjonalnością prowadzi do wstrzyknięcia SQL.
W systemie informacyjnym Lost and Found w wersji 1.0 odkryto krytyczną podatność, która umożliwia atak SQL injection poprzez manipulację argumentem id w pliku admin\user\manage_user.php.
JavaCPP Presets wykorzystuje parametr `github.event.head_commit.message` w sposób niebezpieczny, co prowadzi do podatności na wstrzyknięcie poleceń. Problem ten został rozwiązany w wersji 1.5.9.
CVE-2023-34243 dotyczy narzędzia TGstation, które zarządza serwerami BYOND. W podatnych wersjach, atakujący mógł odkryć nazwę użytkownika Windows poprzez brute-forcing punktu logowania z nieprawidłowym hasłem.