Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W aplikacji XMPie UStore w wersji 12.3.7244.0 odkryto trwałą podatność na ataki XSS w panelu administracyjnym podczas edycji użytkowników. Podatność występuje w dwóch polach wejściowych, umożliwiając wstrzyknięcie złośliwego skryptu.
W aplikacji internetowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta występuje odbita podatność na atak typu cross-site scripting (XSS). Zdalny, nieuwierzytelniony atakujący może wykonać kod na urządzeniu ofiary, wysyłając jej specjalnie spreparowany URL.
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
Podatność na odbity atak XSS w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest odzwierciedlany na stronie bez odpowiedniej sanityzacji.
Podatność SQL Injection w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL, co może prowadzić do nieautoryzowanego dostępu do dodatkowych rekordów audytu.
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
W wersji 1.4.0 Trusted Firmware-M (TF-M) przy użyciu profilu Small występuje nieprawidłowa kontrola dostępu. NSPE może uzyskać dostęp do zabezpieczonego klucza (przechowywanego przez usługę Crypto) jedynie na podstawie znajomości jego identyfikatora klucza.
Fluxbb w wersji 1.4.12 zawiera podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
W Opmantek Open-AudIT 4.2.0 wykryto problem z ujawnieniem informacji. Uwierzytelniony atakujący może odczytać pliki poza ograniczonym katalogiem.
Wersje Apache Log4j2 od 2.0-beta7 do 2.17.0 (z wyłączeniem poprawek bezpieczeństwa 2.3.2 i 2.12.4) są podatne na atak zdalnego wykonania kodu (RCE) przy użyciu konfiguracji z JDBC Appender i źródłem danych JNDI LDAP, gdy atakujący ma kontrolę nad docelowym serwerem LDAP. Problem został rozwiązany poprzez ograniczenie nazw źródeł danych JNDI do protokołu java w wersjach Log4j2 2.17.1, 2.12.4 i 2.3.2.
W systemie S-CMS Government Station Building System v5.0 wykryto podatność na atak XSS w pliku /function/booksave.php. Umożliwia ona wstrzyknięcie złośliwego skryptu po stronie klienta.
W systemie S-CMS Government Station Building System v5.0 wykryto podatność na atak typu cross-site scripting (XSS) w funkcji wyszukiwania. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.
Wersje Apache Log4j2 od 2.0-alpha1 do 2.16.0 (z wyjątkiem 2.12.3 i 2.3.1) nie chroniły przed niekontrolowaną rekurencją w przypadku samoodwołujących się wyszukiwań. Umożliwia to atakującemu, który ma kontrolę nad danymi w Thread Context Map, spowodowanie odmowy usługi podczas interpretacji spreparowanego ciągu.
W systemie Verint Workforce Optimization (WFO) w wersji 15.2.8.10048 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez parametr NEWUINAV w ścieżce control/my_notifications. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W systemie Genesys Workforce Management 8.5.214.20 wykryto podatność na atak XSS podczas usuwania rekordów, wykorzystującą parametr Time-off. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W LimeSurvey 3.6.2+180406 odkryto podatność na atak XSS w skrypcie theme.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub HTML poprzez parametr changes_cp w żądaniu do URI index.php/admin/themes/sa/templatesavechanges.
W module przekierowań Racktables w wersji 0.21.2 występuje podatność na atak XSS. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr op.
W aplikacji Mahavitaran na Androida w wersji 7.50 i niższych odkryto podatność, która umożliwia lokalnym atakującym odczytanie nazwy użytkownika i hasła w postaci jawnego tekstu podczas zalogowania użytkownika.
W systemie Chamilo LMS w wersji 1.11.14 wykryto podatność na atak typu Cross Site Scripting (XSS) w pliku /plugin/jcapture/applet.php. Atakujący może wykorzystać tę lukę, przekazując w ciasteczku (cookie) zakodowany w hex ciąg znaków.