Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
W systemie XYHCMS V3.6 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF) w URI /xyhai.php?s=/Auth/editUser. Umożliwia ona atakującemu modyfikację danych administratora, w tym nazwy, adresu e-mail i hasła.
W baigo CMS w wersji 4.0-beta-1 odkryto podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametr 'post' w formularzu wysyłanym do /public/console/profile/info-submit/.
W Teradici PCoIP Management Console-Enterprise 20.07.0, nieuwierzytelniony użytkownik może wstrzyknąć dowolny tekst do przeglądarki ofiary za pośrednictwem aplikacji webowej.
W MISP przed wersją 2.4.146 występuje podatność na przechowywane XSS w widoku grup udostępniania, zlokalizowanym w pliku app/View/SharingGroups/view.ctp.
Podatność XSS w Chevereto przed wersją 3.17.1 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez tytuł obrazu podczas przesyłania pliku.
W oprogramowaniu sprzętowym TrippLite SU2200RTXL2Ua w wersji 12.04.0055 odkryto podatność na trwały atak XSS w skrypcie /Forms/device_vars_1. Umożliwia ona uwierzytelnionym atakującym wstrzyknięcie złośliwego skryptu poprzez spreparowane żądanie POST, co prowadzi do kradzieży danych innych użytkowników.
W Typesetter 5.1 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez pola className i Description w skrypcie index.php/Admin/Classes. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MetInfo 7.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS) poprzez parametr gourl w pliku login.php. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony logowania.
Router D-Link DIR-2640-US w wersji 1.01B04 przechowuje hasło systemowe w postaci jawnego tekstu. Urządzenie nie korzysta z zarządzania użytkownikami systemu Linux, a hasła są identyczne dla wszystkich urządzeń i nie mogą być zmienione przez zwykłych użytkowników. Atakujący może łatwo zalogować się przez port szeregowy i uzyskać uprawnienia root.
W jądrze InsydeH2O 5.x niektóre sterowniki SMM nieprawidłowo walidują parametry CommBuffer i CommBufferSize, co pozwala wywołującym na uszkodzenie pamięci firmware lub systemu operacyjnego. Dotyczy sterowników AhciBusDxe, IdeBusDxe, NvmExpressDxe, SdHostDriverDxe i SdMmcDeviceDxe.
Podatność w konsoli zarządzania SafeNet KeySecure 8.12.0 umożliwia ataki polegające na dzieleniu odpowiedzi HTTP. Zdalny atakujący może wykorzystać specjalnie spreparowany URL, aby po kliknięciu przez ofiarę serwer zwrócił rozdzieloną odpowiedź.
Podatność CWE-552 w oprogramowaniu sprzętowym Easergy T300 w wersji V2.7.1 i starszych umożliwia nieautoryzowanym atakującym dostęp do plików i katalogów systemowych. Brak odpowiednich ograniczeń dostępu pozwala na ujawnienie poufnych danych.
W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-287: Niewłaściwa autoryzacja, która może prowadzić do utraty łączności z urządzeniem za pośrednictwem protokołu Modbus TCP, gdy atakujący wyśle specjalnie przygotowane żądanie HTTP.
Podatność na atak typu Cross-site scripting (XSS) w module Portal Workflow w Liferay DXP, występująca na stronie edycji procesu. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr currentURL.
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
Centreon w wersji 20.10.2 zawiera podatność na trwały atak XSS. Parametry dep_description i dep_name są podatne na wstrzykiwanie skryptów, co wymaga zalogowania i przejścia do strony Konfiguracja > Powiadomienia > Hosty.
W Arm Trusted Firmware M do wersji 1.2, świat NS może wywołać zatrzymanie systemu, nadpisanie danych zabezpieczonych lub wydrukowanie danych zabezpieczonych podczas wywoływania funkcji zabezpieczonych w trybie obsługi NSPE.
W interfejsie webowym LuCI dla OpenWRT w wersji 19.07 odkryto podatność na trwałe cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie dowolnego kodu JavaScript poprzez zmianę nazwy hosta (Hostname).