Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
W systemie rageframe2 w wersji 2.6.37 odkryto podatność na atak XSS (Cross-Site Scripting). Luka występuje w parametrach związanych z agentem użytkownika na stronie info.php.
Podatność na trwały atak XSS w polu "Field Server Address" w oprogramowaniu INTELBRAS ATA 200 w wersji 74.19.10.21 umożliwia uwierzytelnionym atakującym wstrzyknięcie kodu JavaScript poprzez spreparowane dane wejściowe.
W EyouCMS w wersji 1.5.8 odkryto podatność typu Storage XSS, która pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie specjalnego ładunku za pomocą parametru tytułu w formularzu zgłoszenia na stronie.
Podatność w Simcenter STAR-CCM+ ujawnia nazwę użytkownika, hosta i wyświetlacza, gdy używany jest publiczny serwer licencji Power-on-Demand. Atakujący może zdalnie uzyskać te informacje.
Podatność na atak typu Cross-site scripting (XSS) w funkcji wyszukiwania JSON w sklepie internetowym eShop - Multipurpose Ecommerce Store Website w wersji 3.0.4. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr get_products?search.
Wykryto podatność typu Denial-of-Service w produktach F-Secure Atlant oraz niektórych produktach WithSecure, która może prowadzić do awarii silnika skanującego podczas analizy zniekształconych plików PE32-bit. Atakujący może zdalnie wywołać ten błąd.
W Moodle przed wersjami 3.8.2, 3.7.5, 3.6.9 i 3.5.11, użytkownicy przeglądający raport historii ocen bez uprawnienia 'dostęp do wszystkich grup' mogli zobaczyć oceny użytkowników z innych grup.
W PyroCMS w wersji 3.9 odkryto wiele podatności na ataki typu cross-site scripting (XSS).
W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.
Niewystarczające egzekwowanie polityki w DevTools w Google Chrome na systemie Windows przed wersją 103.0.5060.53 umożliwia atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, uzyskanie potencjalnie wrażliwych informacji z lokalnych plików użytkownika za pomocą spreparowanej strony HTML.
W systemie Online Fire Reporting System v1.0 wykryto podatność na atak XSS w skrypcie /index.php/?p=report. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML przez pole tekstowe "Contac #".
Podatność na atak typu Cross Site Scripting (XSS) w systemie Gollum w wersjach od 5.0 do 5.1.2. Atak jest możliwy poprzez parametr nazwy pliku w oknie dialogowym 'Nowa strona'.
W osTicket-plugins Storage-FS przed commit a7842d494889fd5533d13deb3c6a7789768795ae wykryto podatność na trwały atak XSS w komponencie audit/class.audit.php. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez spreparowany plik SVG.
W systemie Mediacenter firmy EGT-Kommunikationstechnik UG przed wersją 2.0 wykryto podatność na ataki XSS w komponencie Online_Update.php. Umożliwia ona wstrzykiwanie złośliwych skryptów do strony.
Magnolia CMS w wersji 6.2.19 zawiera podatność na atak XSS w funkcji edycji kontaktu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez przesłanie spreparowanego dokumentu SVG jako zdjęcia profilowego.
Podatność w iTop VPN 3.2 pozwala atakującemu na przejęcie tokena innego użytkownika poprzez utworzenie nazwanego potoku o tej samej nazwie, co używany przez komponent iTopVPNmini.exe. Atakujący nasłuchuje połączeń i nadużywa funkcji ImpersonateNamedPipeClient().
W produktach IObit (Advanced System Care 15, iTop Screen Recorder 2.1, iTop VPN 3.2, Driver Booster 9, iTop Screenshot) procedura aktualizacji pobiera plik konfiguracyjny przez niezabezpieczone połączenie HTTP. Atakujący może przechwycić tę komunikację i podmienić plik konfiguracyjny, wskazując złośliwe lokalizacje aktualizacji, co prowadzi do zdalnego wykonania kodu z uprawnieniami administratora.
W systemie Zoo Management System v1.0 w funkcji dodawania klasyfikacji wykryto podatność na trwały atak XSS. Umożliwia ona atakującemu wstrzyknięcie złośliwych skryptów lub kodu HTML.
W systemie Zoo Management System 1.0 od SourceCodester wykryto podatność na atak XSS (Cross Site Scripting) poprzez parametr msg w skrypcie register_visitor. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.