Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wykorzystanie uszkodzonego lub ryzykownego algorytmu kryptograficznego w funkcji mbedtls_mpi_exp_mod() w pliku lignum.c w Mbed TLS we wszystkich wersjach przed 3.0.0, 2.27.0 lub 2.16.11 umożliwia atakującym, posiadającym dostęp do wystarczająco precyzyjnych informacji o czasie i dostępie do pamięci, odzyskanie kluczy prywatnych używanych w RSA.
W jądrze Linux w KVM: nVMX występuje regresja umożliwiająca ataki typu Spectre v2. L2 może przeprowadzić ataki Spectre v2 na L1, ponieważ L1 myśli, że nie potrzebuje retpolines lub IBPB po uruchomieniu L2 z powodu reklamowania eIBRS przez KVM (L0). Atakujący w L2 z możliwością wykonywania kodu może wykonać kod na pośredniej gałęzi na hoście. Zalecane jest uaktualnienie do jądra 6.2 lub zastosowanie odpowiednich backportów.
Podatność XSS w Typora do wersji 1.3.8 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez dokument zawierający element SVG z atrybutem onload. Po wyeksportowaniu i otwarciu takiego dokumentu przez ofiarę, kod wykonuje się w kontekście jej przeglądarki.
W MISP przed wersją 2.4.167 występuje podatność XSS w pliku szablonu do przesyłania plików w app/View/Templates/upload_file.ctp.
Podatność na skryptowanie między witrynami (XSS) w NdkAdvancedCustomizationFields v3.5.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanych danych do parametru 'htmlNodes'.
W systemie Employee Performance Evaluation System v1.0 wykryto podatność na trwały atak XSS (cross-site scripting) w module Departments and Designations. Atakujący może wstrzyknąć złośliwy skrypt podczas dodawania nowych wpisów.
W optee_os w TrustedFirmware Open Portable Trusted Execution Environment (OP-TEE) przed wersją 3.20 występuje niechroniona operacja dostępu do pamięci, która pozwala fizycznie bliskiemu przeciwnikowi na ominięcie weryfikacji podpisu i zainstalowanie złośliwych aplikacji zaufanych za pomocą wstrzyknięć zakłóceń elektromagnetycznych.
Adobe Campaign w wersjach 7.3.1 (i wcześniejszych) oraz 8.3.9 (i wcześniejszych) jest dotknięty podatnością Server-Side Request Forgery (SSRF), która może prowadzić do dowolnego odczytu plików. Uwierzytelniony atakujący z niskimi uprawnieniami może zmusić aplikację do wykonania dowolnych żądań poprzez wstrzyknięcie dowolnych URL-i. Wykorzystanie tej podatności nie wymaga interakcji użytkownika.
W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem, który pozwala atakującemu na odzyskanie prywatnego klucza RSA po zaobserwowaniu jednego działania z użyciem klucza prywatnego. Warunkiem jest, aby rozmiar okna (MBEDTLS_MPI_WINDOW_SIZE) używanego do eksponentacji wynosił 3 lub mniej.
Resque Scheduler w wersji 1.27.4 jest podatny na atak typu Cross-site scripting (XSS). Zdalny atakujący może wstrzyknąć kod JavaScript do parametrów "schedule_job" lub "args" w endpointcie /resque/delayed/jobs/{schedule_job}?args={args_id}, co prowadzi do wykonania skryptu po stronie klienta.
W PcVue w wersjach od 8.10 do 15.2.3 wykryto podatność polegającą na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Nieuprawniony użytkownik mający dostęp do plików konfiguracyjnych kont e-mail i SMS może odkryć poświadczenia konta SMTP oraz kod PIN karty SIM.
W PcVue w wersjach od 15 do 15.2.2 wykryto podatność polegającą na wstawianiu poufnych informacji do plików dziennika. Użytkownik mający dostęp do tych plików może odkryć ciągi połączeń źródeł danych skonfigurowanych dla DbConnect, które mogą zawierać poświadczenia.
W Teleport w wersjach v3.2.2, v3.5.6-rc6 i v3.6.3-b2 wykryto wyciek informacji przez interfejs webowy /user/get-role-list. Podatność umożliwia nieautoryzowanym użytkownikom dostęp do listy ról.
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /calendar/viewcalendar.php. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole Subject.
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /forums/editforum.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole Name.
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /general/search.php?searchtype=simple. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole wyszukiwania, co prowadzi do wykonania skryptów w przeglądarce ofiary.
W webtareas 2.4p5 wykryto podatność na atak XSS w komponencie /meetings/listmeetings.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /clients/listclients.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
W webtareas 2.4p5 odkryto podatność na atak XSS w komponencie /projects/listprojects.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML w pole Name, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.
W webtareas 2.4p5 wykryto podatność na atak XSS w funkcji czatu. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML w pole wiadomości.