Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie lmxcms w wersji 1.41 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do pliku admin.php.
Podatność w urządzeniu Turing Video Turing Edge+ EVC5FD w wersji 1.38.6 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji poprzez komponenty połączenia chmurowego.
Wszystkie wersje Confluence Data Center i Server są podatne na tę niewykorzystaną podatność. Jest to podatność typu Improper Authorization, która pozwala nieuwierzytelnionemu atakującemu na zresetowanie Confluence i utworzenie konta administratora instancji Confluence. Używając tego konta, atakujący może wykonać wszystkie czynności administracyjne dostępne dla administratora instancji Confluence, co prowadzi do pełnej utraty poufności, integralności i dostępności.
Prestashop w wersji opartlimitquantity 1.4.5 i wcześniejszych jest podatny na atak typu SQL Injection. Metoda `OpartlimitquantityAlertlimitModuleFrontController::displayAjaxPushAlertMessage()` zawiera wrażliwe zapytania SQL, które mogą być wykonane za pomocą prostego wywołania HTTP.
tinyfiledialogs w wersjach przed 3.15.0 pozwala na użycie metaznaków powłoki (takich jak znak backquote lub dolar) w tytułach, wiadomościach i innych danych wejściowych. Problem ten wynika z niekompletnej poprawki dla CVE-2020-36767, która uwzględniała jedynie znaki pojedynczego i podwójnego cudzysłowu.
Wtyczka Ads by datafeedr.com dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 1.1.3 włącznie, poprzez funkcję 'dfads_ajax_load_ads'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka PHP to Page dla WordPressa jest podatna na lokalne włączenie pliku, co może prowadzić do zdalnego wykonania kodu w wersjach do 0.3 włącznie, poprzez shortcode 'php-to-page'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej, włączenie lokalnego pliku i potencjalne wykonanie kodu na serwerze.
Marshaller protokołu Java OpenWire jest podatny na zdalne wykonanie kodu. Podatność ta może pozwolić zdalnemu atakującemu z dostępem sieciowym do brokera lub klienta OpenWire na uruchomienie dowolnych poleceń powłoki poprzez manipulowanie serializowanymi typami klas w protokole OpenWire, co powoduje, że klient lub broker (odpowiednio) instancjonuje dowolną klasę ze ścieżki klas.
W podatności CVE-2023-5807 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w portalu edukacyjnym TRtek. Problem dotyczy wersji portalu edukacyjnego przed 3.2023.29.
Nieujawnione żądania mogą ominąć uwierzytelnianie w narzędziu konfiguracyjnym, umożliwiając atakującemu z dostępem sieciowym do systemu BIG-IP przez port zarządzania i/lub adresy self IP wykonanie dowolnych poleceń systemowych. Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie zostały ocenione.
NextGen Healthcare Mirth Connect przed wersją 4.4.1 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Podatność ta jest spowodowana niekompletną poprawką CVE-2023-37679.
Biblioteka crypto-js przed wersją 4.2.0 ma słabą implementację PBKDF2, która jest 1,000 razy słabsza niż pierwotnie określono w 1993 roku oraz 1,300,000 razy słabsza niż obecny standard branżowy. Domyślnie używa SHA1 oraz jednego przebiegu, co znacząco obniża bezpieczeństwo.
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
vCenter Server zawiera podatność na zapis poza zakresem w implementacji protokołu DCERPC. Złośliwy aktor z dostępem sieciowym do vCenter Server może wywołać zapis poza zakresem, co może prowadzić do zdalnego wykonania kodu.
Wtyczka Icegram Express dla WordPressa jest podatna na atak typu Directory Traversal w wersjach do 5.6.23 włącznie, poprzez funkcję show_es_logs. Umożliwia to atakującym na poziomie administratora odczyt zawartości dowolnych plików na serwerze.
Dropbox Folder Share dla WordPressa jest podatny na Local File Inclusion w wersjach do 1.9.7 włącznie, poprzez plik editor-view.php. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
Wtyczka Simple:Press – Forum dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku ~/admin/resources/jscript/ajaxupload/sf-uploader.php w wersjach do 6.6.0 włącznie. Umożliwia to atakującym przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Podatność w interfejsie webowym produktu RUCKUS Cloudpath w wersji 5.12 build 5538 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzenie trwałych ataków XSS i CSRF na interfejs administracyjny. W połączeniu z określoną aktywnością administratora, atak może prowadzić do uzyskania pełnych uprawnień administracyjnych.
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
WebJET CMS 8.6.896 od Interway a.s. zawiera podatność na ataki typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS