Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/dict/queryTableData. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Wtyczka Amasty Blog Pro w wersjach 2.10.3 i 2.10.4 dla Magento 2 zawiera podatność na trwały atak XSS (Stored Cross-site Scripting) z powodu funkcji duplikowania postów.
Wtyczka Amasty Blog w wersji 2.10.3 zawiera podatność na atak typu Cross-Site Scripting (XSS) w funkcji dodawania komentarzy. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
W systemie Maarch RM 2.8.3 wykryto podatność związaną z nieskuteczną kontrolą dostępu. Podczas podglądu dokumentów (PDF, e-mail) z archiwum aplikacja generuje URL zawierający hash MD5 pliku, który jest dostępny bez uwierzytelnienia.
Podatność SQL Injection w uwierzytelnionej sesji na stronie statystyk (/statistics/retrieve) Maarch RM 2.8, poprzez parametr filter, umożliwia pełne ujawnienie wszystkich baz danych.
Wiele podatności w procesorze SMB2 silnika detekcji Snort w różnych produktach Cisco może pozwolić nieautoryzowanemu, zdalnemu atakującemu na obejście skonfigurowanych polityk lub spowodowanie stanu odmowy usługi (DoS) na dotkniętym urządzeniu.
W Liferay Portal i DXP funkcja testowania użytkowników LDAP ujawnia poświadczenia LDAP w adresie URL strony podczas przeglądania listy użytkowników. Atakujący typu man-in-the-middle lub mający dostęp do logów żądań mogą przechwycić te dane.
W produktach Liferay wykryto brak walidacji certyfikatów SSL w modułach REST dostawców danych Dynamic Data Mapping. Podatność dotyczy Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 17 i 7.3 przed service pack 3.
Moduł Dynamic Data Mapping w Liferay Portal 7.1.0 do 7.4.3.4 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 19, 7.3 przed update 4 i 7.4 GA nieprawidłowo sprawdza uprawnienia do wpisów formularzy, co pozwala zdalnym uwierzytelnionym użytkownikom na przeglądanie i dostęp do wszystkich wpisów formularzy.
Podatność IDOR w module Dynamic Data Mapping w Liferay Portal 7.3.2 do 7.4.3.4 oraz Liferay DXP 7.3 przed updatem 4 i 7.4 GA umożliwia zdalnie uwierzytelnionym użytkownikom podgląd i dostęp do wpisów formularzy poprzez parametr `formInstanceRecordId`.
Moduł Hypermedia REST APIs w Liferay Portal 7.4.1 do 7.4.3.4 oraz Liferay DXP 7.4 GA nieprawidłowo sprawdza uprawnienia, co umożliwia zdalnym atakującym uzyskanie obiektu WikiNode przez API WikiNodeResource.getSiteWikiNodeByExternalReferenceCode.
Moduł Friendly Url w Liferay Portal 7.4.3.5 do 7.4.3.36 oraz Liferay DXP 7.4 update 1 do 36 nieprawidłowo sprawdza uprawnienia użytkownika, co pozwala zdalnym atakującym na uzyskanie historii wszystkich przyjaznych URL-i przypisanych do strony.
Moduł Asset Libraries w Liferay Portal 7.3.5 do 7.4.3.28 oraz Liferay DXP 7.3 przed aktualizacją 8 i DXP 7.4 przed aktualizacją 29 nieprawidłowo sprawdza uprawnienia bibliotek zasobów, co umożliwia zdalnie uwierzytelnionym użytkownikom przeglądanie tych bibliotek przez interfejs użytkownika.
W produktach Liferay wykryto podatność na atak typu Cross Site Scripting (XSS) w module Commerce. Problem dotyczy Liferay Portal w wersjach od 7.3.5 do 7.4.2 oraz Liferay DXP 7.3 przed aktualizacją 8.
Podatność na skryptowanie między witrynami (XSS) w module Portal Search w Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 15 i 7.3 przed service pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr `tag`.
W Shopwind v3.4.3 odkryto podatność na odbity atak XSS w komponencie /common/library/Page.php. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Podatność w wielu stronach zarządzania interfejsem Cisco Umbrella umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na użytkownika panelu Cisco Umbrella. Problem wynika z niesanitowanych danych wejściowych od użytkownika.
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla ndk design zawiera podatność na ataki XSS w pliku createPdf.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
W systemie ProcessWire w wersji 3.0.200 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
W ProcessWire v3.0.200 odkryto wiele podatności na ataki XSS w funkcjach wyszukiwania użytkowników i stron. Luki umożliwiają atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML.