Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie SourceCodester Online Discussion Forum Site w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej części pliku admin\posts\view_post.php. Manipulacja prowadzi do wstrzykiwania SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanej funkcjonalności pliku user/manage_user.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, dotyczącą pliku posts/manage_post.php. Manipulacja argumentem id prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.
Biblioteka OpenZeppelin Contracts do rozwoju inteligentnych kontraktów ma podatność, która pozwala atakującemu na przejęcie roli proponującego poprzez frontrunning tworzenia propozycji. Atakujący może wielokrotnie próbować uniemożliwić zaproponowanie danej propozycji.
Podatność w zxcvbn-ts, narzędziu do oceny siły haseł, dotyczy użytkowników platformy nodeJS, którzy korzystają z drugiego argumentu funkcji zxcvbn. Może to prowadzić do nieograniczonego zużycia zasobów, gdyż tablica wejściowa użytkownika jest rozszerzana przy każdym wywołaniu funkcji.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanej funkcji w pliku admin\user\manage_user.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanego przetwarzania pliku admin\posts\manage_post.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanego kodu w pliku admin/categories/view_category.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanej części pliku admin/categories/manage_category.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL.
Wykryto krytyczną podatność w systemie SourceCodester Online Discussion Forum Site 1.0, która dotyczy nieznanej funkcjonalności pliku classes\Users.php?f=registration. Manipulacja argumentem username prowadzi do wstrzyknięcia SQL.
Podatność typu Cross-site Scripting (XSS) została zidentyfikowana w repozytorium GitHub microweber/microweber przed wersją 2.0. Umożliwia ona atakującym wstrzykiwanie złośliwego kodu do aplikacji.
Brak nagłówków HTTP (X-Frame-Options, Content-Security-Policy) w KNIME Business Hub przed wersją 1.4.0 naraża użytkowników na ataki typu clickjacking. Atak ten polega na oszukaniu użytkownika, aby kliknął w element interaktywny, co prowadzi do nieautoryzowanego przekierowania na inną stronę.
Wtyczka B2BKing dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'b2bkingdownloadpricelist' w wersjach do 4.6.00 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub klienta pobranie pełnej listy cen wszystkich produktów na stronie.
Wtyczka B2BKing dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'b2bking_save_price_import' w wersjach do 4.6.00 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub klienta modyfikację cen dowolnego produktu na stronie.
Słabe zarządzanie sesjami w oprogramowaniu układowym DB Elettronica Telecomunicazioni SpA SFT DAB 600/C umożliwia atakującym na tej samej sieci ominięcie uwierzytelnienia poprzez ponowne użycie adresu IP przypisanego do urządzenia przez protokół NAT.
W urządzeniach Harmonic NSG 9000-6G, uwierzytelniony zdalny użytkownik może uzyskać dostęp do kodu źródłowego, wysyłając bezpośrednie żądanie do specjalnej ścieżki.
Podatność w narzędziu CLI 'notation' umożliwia atakującemu, który przejął kontrolę nad rejestrem, dodanie dużej liczby podpisów do artefaktu, co może prowadzić do odmowy usługi na maszynie, gdy użytkownik uruchomi polecenie 'notation verify'.
W wersji axTLS v2.1.5 odkryto przepełnienie bufora w stercie w funkcji bi_import w pliku axtls-code/crypto/bigint.c. Ta podatność umożliwia atakującym spowodowanie odmowy usługi (DoS) podczas parsowania klucza prywatnego.
W kamerze TP-Link TAPO C200 V3 (EU) z firmware 1.1.22 Build 220725 para klucz-IV AES jest współdzielona między wszystkimi urządzeniami. Atakujący z fizycznym dostępem do kamery może wyodrębnić i odszyfrować poufne dane, w tym hasło WiFi oraz dane logowania do konta TP-Link ofiary.
W wersji 2.1.0 biblioteki yajl występuje wyciek pamięci związany z użyciem funkcji yajl_tree_parse. Może to prowadzić do wyczerpania pamięci na serwerze i w konsekwencji do jego awarii.