Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Interfejs webowy LuCI dla OpenWRT w wersji 19.07 i niższych zawiera podatność na ataki typu Cross-Site Scripting (XSS).
W BMC Remedy Mid Tier 9.1SP3 wykryto podatność na ataki XSS (DOM-based) w starszym narzędziu. Umożliwia ona wstrzyknięcie złośliwego skryptu po stronie klienta.
BMC Remedy Mid Tier 9.1SP3 jest podatny na przechwytywanie logów. Zdalne logi mogą być dostępne dla nieuwierzytelnionych użytkowników, co pozwala atakującemu na przechwycenie logów systemowych. Dane te mogą zawierać nazwy użytkowników i dane HTTP.
W bibliotece GNU LibreDWG w wersji 0.10 odkryto podatność polegającą na wycieku pamięci w funkcji dwg_decode_eed w pliku decode.c. Specjalnie spreparowane dane wejściowe mogą spowodować wyciek pamięci, co może prowadzić do wyczerpania zasobów systemowych.
W bibliotece GNU LibreDWG w wersji 0.10 wykryto problem polegający na dereferencji wskaźnika null w funkcji read_2004_compressed_section w pliku decode.c. Błąd może prowadzić do awarii programu podczas przetwarzania specjalnie spreparowanych plików DWG.
W bibliotece GNU LibreDWG 0.10 wykryto problem polegający na dereferencji wskaźnika null w funkcji get_bmp w pliku dwgbmp.c. Błąd występuje w linii 164 i może prowadzić do awarii programu.
InvoicePlane 1.5.11 nie ma ograniczenia szybkości dla resetowania hasła, a token resetu jest generowany przy użyciu słabego, przewidywalnego mechanizmu.
W bibliotece GNU LibreDWG w wersji 0.10.2641 występuje problem dereferencji wskaźnika null w funkcji htmlescape w pliku escape.c:29. Błąd ten prowadzi do odmowy usługi (DoS) poprzez awarię aplikacji.
W bibliotece GNU LibreDWG w wersji 0.10.2641 występuje problem dereferencji wskaźnika null w funkcji output_TEXT w pliku dwg2SVG.c:114, co prowadzi do odmowy usługi poprzez awarię aplikacji.
Moduł Data Engine w Liferay Portal 7.3.0 do 7.3.5 oraz Liferay DXP 7.3 przed fix pack 1 nie sprawdza uprawnień w metodzie DataDefinitionResourceImpl.getSiteDataDefinitionByContentTypeByDataDefinitionKey, co pozwala zdalnie uwierzytelnionym użytkownikom na przeglądanie struktur DDM poprzez wywołania API GET.
Podatność na atak XSS w aplikacji Asset Publisher modułu Asset w Liferay Portal 7.2.1 do 7.3.5 oraz Liferay DXP 7.1 przed fix pack 21, 7.2 przed fix pack 10 i 7.3 przed fix pack 1. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr assetEntryId.
Podatność na atak typu Cross-site scripting (XSS) w module Layout w Liferay Portal 7.3.4, 7.3.5 oraz Liferay DXP 7.2 przed fix pack 11 i 7.3 przed fix pack 1. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr _com_liferay_layout_admin_web_portlet_GroupPagesPortlet_name na stronie administracyjnej układu.
Podatność na skrypty między witrynami (XSS) w polu wyboru kategorii modułu Asset w Liferay Portal 7.3.5 i Liferay DXP 7.3 przed fix pack 1. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr _com_liferay_asset_categories_admin_web_portlet_AssetCategoriesAdminPortlet_title.
Podatność na skryptowanie między witrynami (XSS) w module przekierowań Liferay Portal 7.3.2–7.3.5 oraz Liferay DXP 7.3 przed fix pack 1. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr destinationURL w panelu administracyjnym przekierowań.
Podatność na atak XSS w module Site w Liferay Portal 7.0.0-7.3.5 oraz Liferay DXP 7.0-7.3 pozwala zdalnemu atakującemu na wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametr comments w żądaniach członkostwa.
Moduł Portal Store w Liferay Portal 7.0.0 do 7.3.5 oraz Liferay DXP 7.0 do 7.3 nie zaciemnia hasła proxy magazynu S3, co umożliwia atakującym kradzież tego hasła poprzez ataki man-in-the-middle lub podglądanie ekranu.
Podatność na atak typu DoS w module uwierzytelniania wieloskładnikowego w Liferay DXP 7.3 przed pakietem naprawczym 1 umożliwia zdalnym, uwierzytelnionym atakującym uniemożliwienie uwierzytelniania dowolnemu użytkownikowi poprzez włączenie TOTP w imieniu innego użytkownika lub modyfikację współdzielonego sekretu TOTP.
Usługi JSON w Liferay Portal 7.3.4 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 97, 7.1 przed fix pack 20 i 7.2 przed fix pack 10 mogą zwracać zbyt szczegółowe komunikaty błędów. Zdalny atakujący może wykorzystać treść tych komunikatów do przeprowadzenia bardziej ukierunkowanych ataków za pomocą spreparowanych danych wejściowych.
Podatność na skrypty między witrynami (XSS) w module Asset na stronie administracji kategoriami w Liferay Portal 7.3.4 umożliwia zdalnym atakującym wstrzyknięcie dowolnego kodu JavaScript lub HTML poprzez nazwę witryny.
W urządzeniach Samsung Galaxy S3 i9305 w wersji 4.4.4 odkryto problem związany z implementacją WPA, WPA2 i WPA3, która ponownie składa fragmenty z niekonsekwentnymi numerami pakietów. Atakujący może wykorzystać tę podatność do wykradania wybranych fragmentów.