Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jądrze Linux do wersji 4.19.316/5.4.278/5.10.220/5.15.161 wykryto podatność w funkcjach tcp_getsockopt/tcp_setsockopt komponentu TCP Handler. Manipulacja prowadzi do wyścigu (race condition) o wysokiej złożoności i trudnej eksploatacji. Łatki dostępne w nowszych wersjach jądra.
W systemie devhub w wersji 0.102.0 wykryto uszkodzoną kontrolę sesji, co może umożliwić atakującemu przejęcie sesji użytkownika.
W jądrze Linux do wersji 5.10.162/5.15.85/6.0.15/6.1.1 znaleziono podatność w komponencie libbpf, w funkcji btf_dump_name_dups pliku tools/lib/bpf/btf_dump.c. Manipulacja prowadzi do użycia po zwolnieniu (use-after-free). Problem rozwiązano w wersjach 5.10.163, 5.15.86, 6.0.16, 6.1.2 i 6.2.
W module Blog w Liferay Digital Experience Platform 7.3.10 SP3 wykryto podatność na atak XSS. Umożliwia ona zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML w pole nazwy nowego tematu.
W bibliotece mxGraph w wersji 4.2.2 wykryto podatność na atak typu cross-site scripting (XSS) w funkcji setTooltips(). Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript poprzez nieprawidłowo obsłużone dane wejściowe.
W Flatpress v1.2.1 odkryto podatność na odbity atak XSS przez parametr 'page' w skrypcie admin.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W pliku app/Controller/UsersController.php w MISP przed wersją 2.4.164 istnieje luka, która pozwala atakującym na odkrycie nazw ról, które powinny być dostępne tylko dla administratora serwisu.
W mojoPortal v2.7 odkryto podatność typu path traversal w parametrze 'f' w /DesignTools/CssEditor.aspx. Umożliwia ona uwierzytelnionym atakującym odczyt dowolnych plików w systemie.
Podatność SSRF w module importu danych Heartex Label Studio Community Edition w wersjach 1.5.0 i wcześniejszych umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych plików w systemie. Dodatkowo domyślnie włączona samorejestracja pozwala zdalnemu atakującemu na utworzenie konta i wykorzystanie tej luki.
W systemie Bus Pass Management System v1.0 wykryto podatność na odbity atak XSS poprzez parametr searchdata. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W Academy Learning Management System przed wersją 5.9.1 odkryto podatność na odbity atak XSS poprzez parametr Search. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W module tłumaczeń Liferay Portal w wersjach 7.4.3.12 do 7.4.3.36 oraz Liferay DXP 7.4 update 8 do 36 brakuje sprawdzania uprawnień przed umożliwieniem użytkownikowi eksportu treści strony do tłumaczenia. Umożliwia to atakującym pobranie pliku XLIFF z tłumaczeniem strony poprzez spreparowany URL.
W Liferay Portal w wersji 7.4.3.4 oraz Liferay DXP w wersji 7.4 GA wykryto wiele podatności na ataki typu cross-site scripting (XSS). Umożliwiają one atakującym wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez parametry z prefiksem "filter_".
Funkcja HtmlUtil.escapeRedirect w Liferay Portal 7.3.1 do 7.4.2 oraz Liferay DXP 7.0-7.3 może zostać ominięta przez użycie wielu ukośników, co umożliwia atakującym przekierowanie użytkowników do dowolnych zewnętrznych adresów URL za pomocą parametrów takich jak 'redirect' czy 'FORWARD_URL'.
Moduł Layout w Liferay Portal v7.3.3 do v7.4.3.34 oraz Liferay DXP 7.3 przed aktualizacją 10 i 7.4 przed aktualizacją 35 nie sprawdza uprawnień użytkownika przed wyświetleniem podglądu strony typu "Content Page", co pozwala atakującym na przeglądanie nieopublikowanych stron poprzez manipulację URL.
W Liferay Portal w wersjach od 7.3.3 do 7.4.2 oraz w Liferay DXP w wersji 7.3 przed dodatkiem Service Pack 3 wykryto podatność na ataki XSS. Atakujący może wstrzyknąć złośliwy kod HTML lub JavaScript poprzez nazwę tagu.
Liferay Portal w wersjach od 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 zawiera podatność na cross-site scripting (XSS) w widżecie Custom Facet modułu Portal Search. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez pole tekstowe Custom Parameter Name.
W Liferay Portal 7.0.1 do 7.4.1 oraz Liferay DXP 7.0 przed fix pack 102, 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 wykryto podatność na trwały XSS w panelu administracji członkostwem użytkowników modułu Site. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę użytkownika.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na atak XSS w pliku newProjectValidation.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML poprzez parametr shortName.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na atak XSS w pliku newProjectValidation.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML poprzez parametr fullName.