Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Apache ActiveMQ Artemis przed wersją 2.24.0, atakujący mógł wyświetlić złośliwą treść i/lub przekierować użytkowników na złośliwy adres URL w konsoli webowej, wykorzystując HTML w nazwie adresu lub kolejki.
Nieuwierzytelniony atakujący może spowodować odmowę usługi (DoS) w routerze D-Link DSL-3782 poprzez wysłanie spreparowanego żądania HTTP. Podatność występuje w oprogramowaniu sprzętowym w wersji v1.01.
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.
W systemie BPC SmartVista w wersji 3.28.0 wykryto wiele podatności na odbity atak XSS. Błędy te występują podczas obsługi komunikatów błędów, co umożliwia atakującemu wykonanie kodu JavaScript po stronie klienta.
W routerze Tenda AC9 w wersji oprogramowania V15.03.2.13 odkryto podatność na przepełnienie bufora w procesie httpd. Problem występuje w funkcji form_fast_setting_wifi_set, co może pozwolić atakującemu na zdalne wykonanie kodu.
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
W systemie rageframe2 w wersji 2.6.37 odkryto podatność na atak XSS (Cross-Site Scripting). Luka występuje w parametrach związanych z agentem użytkownika na stronie info.php.
Podatność na trwały atak XSS w polu "Field Server Address" w oprogramowaniu INTELBRAS ATA 200 w wersji 74.19.10.21 umożliwia uwierzytelnionym atakującym wstrzyknięcie kodu JavaScript poprzez spreparowane dane wejściowe.
W EyouCMS w wersji 1.5.8 odkryto podatność typu Storage XSS, która pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie specjalnego ładunku za pomocą parametru tytułu w formularzu zgłoszenia na stronie.
Podatność w komponencie usług VPN web client w oprogramowaniu Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzanie ataków opartych na przeglądarce na użytkowników urządzenia. Problem wynika z nieprawidłowej walidacji danych wejściowych przekazywanych do komponentu przed zwróceniem ich do przeglądarki. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do odwiedzenia strony, która wysyła złośliwe żądania do urządzenia z włączonymi punktami końcowymi usług webowych VPN.
Podatność w Simcenter STAR-CCM+ ujawnia nazwę użytkownika, hosta i wyświetlacza, gdy używany jest publiczny serwer licencji Power-on-Demand. Atakujący może zdalnie uzyskać te informacje.
Podatność na atak typu Cross-site scripting (XSS) w funkcji wyszukiwania JSON w sklepie internetowym eShop - Multipurpose Ecommerce Store Website w wersji 3.0.4. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr get_products?search.
Wykryto podatność typu Denial-of-Service w produktach F-Secure Atlant oraz niektórych produktach WithSecure, która może prowadzić do awarii silnika skanującego podczas analizy zniekształconych plików PE32-bit. Atakujący może zdalnie wywołać ten błąd.
W Moodle przed wersjami 3.8.2, 3.7.5, 3.6.9 i 3.5.11, użytkownicy przeglądający raport historii ocen bez uprawnienia 'dostęp do wszystkich grup' mogli zobaczyć oceny użytkowników z innych grup.
W PyroCMS w wersji 3.9 odkryto wiele podatności na ataki typu cross-site scripting (XSS).
W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.
Niewystarczające egzekwowanie polityki w DevTools w Google Chrome na systemie Windows przed wersją 103.0.5060.53 umożliwia atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, uzyskanie potencjalnie wrażliwych informacji z lokalnych plików użytkownika za pomocą spreparowanej strony HTML.
W systemie Online Fire Reporting System v1.0 wykryto podatność na atak XSS w skrypcie /index.php/?p=report. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML przez pole tekstowe "Contac #".
Podatność na atak typu Cross Site Scripting (XSS) w systemie Gollum w wersjach od 5.0 do 5.1.2. Atak jest możliwy poprzez parametr nazwy pliku w oknie dialogowym 'Nowa strona'.
W osTicket-plugins Storage-FS przed commit a7842d494889fd5533d13deb3c6a7789768795ae wykryto podatność na trwały atak XSS w komponencie audit/class.audit.php. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez spreparowany plik SVG.