Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.07)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Biblioteka jose, używana do operacji kryptograficznych, zawiera podatność w algorytmie AES_CBC_HMAC_SHA2, która pozwala na wykorzystanie oracle padding do odszyfrowania danych bez znajomości klucza. W przypadku błędu w paddingu, różnice w czasie odpowiedzi mogą być obserwowalne, co umożliwia atakującemu przeprowadzenie ataku.
Froala Editor 3.2.6 zawiera podatność na trwały atak XSS. Specjalnie spreparowany ciąg base64 w module tworzenia hiperłączy umożliwia wstrzyknięcie złośliwego skryptu.
W wpa_supplicant i hostapd 2.9 stwierdzono podatność na ataki fałszowania spowodowane nieprawidłowym obsługiwaniem parametrów AlgorithmIdentifier w plikach tls/pkcs1.c i tls/x509v3.c.
SeedDMS 5.1.x zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w pliku out.EditFolder.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
SeedDMS 5.1.x zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF) w pliku out.EditDocument.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych operacji na koncie ofiary.
W systemie openMAINT w wersjach 2.1-3.3-b wykryto wiele podatności na trwały cross-site scripting (XSS). Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez sekcje "Dodaj", takie jak Dodaj kartę budynku i piętra, w parametrach Nazwa i Kod.
Podatność XSS w Maxum Rumpus 8.2.13 i 8.2.14 umożliwia atakującym wstrzyknięcie złośliwego skryptu poprzez nazwę folderu. Brak odpowiedniej walidacji danych wejściowych prowadzi do trwałego przechowywania skryptu na serwerze.
W qcubed (wszystkie wersje, w tym 3.1.1) w pliku profile.php występuje odbita podatność na skrypty między witrynami (XSS) przez parametr stQuery. Umożliwia ona nieuwierzytelnionemu atakującemu kradzież sesji uwierzytelnionych użytkowników.
W MISP 2.4.139 odkryto problem w pliku app/Model/SharingGroupServer.php, który w implementacji grup udostępniania czasami przyznawał dostęp do widoku niezamierzonym podmiotom poprzez flagę 'wszystkie organizacje'.
Urządzenia Yeastar NeoGate TG400 w wersji 91.3.0.3 są podatne na przechodzenie między katalogami. Uwierzytelniony użytkownik może odszyfrować oprogramowanie układowe i odczytać poufne informacje, takie jak hasło lub klucz deszyfrujący.
W urządzeniach PowerLogic ION7400, ION7650, ION83xx/84xx/85xx/8600, ION8650, ION8800, ION9000 oraz PM800 występuje podatność typu CWE-352: Cross-Site Request Forgery. Może to spowodować, że użytkownik wykona niezamierzoną akcję na docelowym urządzeniu podczas korzystania z interfejsu webowego HTTP.
Nagios XI w wersji xi-5.7.5 zawiera podatność na atak XSS w pliku /usr/local/nagiosxi/html/admin/sshterm.php z powodu braku odpowiedniego oczyszczania danych wejściowych. Złośliwy URL może zostać użyty do kradzieży sesji administratora lub połączenia z innymi błędami w celu zdalnego wykonania kodu (RCE).
CASAP Automated Enrollment System 1.0 zawiera podatność na ataki XSS w pliku users.php. Atakujący może wykraść ciasteczko sesji użytkownika i przekierować go na złośliwą stronę.
W systemie BDTASK Multi-Store Inventory Management System 1.0 wykryto podatność na trwałe XSS (Stored Cross-Site Scripting). Lokalny administrator może wstrzyknąć dowolny kod JavaScript przez pole nazwy klienta.
W systemie QDOCS Smart Hospital Management System 3.1 w formularzu dodawania pacjenta występuje podatność na atak XSS. Zdalny atakujący może wstrzyknąć dowolny kod JavaScript w polach takich jak Imię, Opiekun, Email, Adres, Uwagi lub Znane Alergie.
Podatność XSS w Textpattern 4.8.4 pozwala atakującemu na wstrzyknięcie złośliwego skryptu przez parametr Body. Może to prowadzić do kradzieży sesji lub przekierowania użytkownika.
W MISP v2.4.128 występuje podatność na atak typu cross-site scripting (XSS) w funkcji SetHomePage() w pliku app/Controller/UserSettingsController.php. Brak walidacji kontrolera w parametrze 'path' pozwala atakującemu na wykonanie złośliwego kodu JavaScript.
Serwer API Kubernetes we wszystkich wersjach pozwala atakującemu, który potrafi stworzyć usługę ClusterIP i ustawić pole spec.externalIPs, na przechwycenie ruchu do tego adresu IP. Dodatkowo, atakujący, który ma możliwość modyfikacji statusu usługi LoadBalancer, może ustawić status.loadBalancer.ingress.ip w podobny sposób.
Podatność w bibliotece kryptograficznej STM32 (UM1924) umożliwia atak Bleichenbachera na padding PKCS #1 v1.5 dla RSA. Atakujący może zdalnie odszyfrować zaszyfrowane dane, wysyłając kolejne zapytania do serwera wykorzystującego podatną bibliotekę.
Wtyczka Stockdio Historical Chart dla WordPressa przed wersją 2.8.1 zawiera podatność na atak XSS. Funkcja stockdio_eventer nasłuchuje zdarzeń postMessage bez walidacji pochodzenia wiadomości, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary.