Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku deleteapprovalstages.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Podatność SQL Injection w systemie informacji studenckiej Prens firmy Algan Software umożliwia atak SQL Injection. Problem dotyczy wersji systemu przed 2.1.11.
System Zarządzania Zapasami w wersji 1.0 jest podatny na atak typu SQL Injection poprzez stronę /ims/login.php. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.
W systemie Orchard CMS 1.10.3 wykryto podatność na atak XSS. Użytkownik z niskimi uprawnieniami (autor lub wydawca) może wstrzyknąć złośliwy kod HTML i JavaScript w treść wpisu blogowego, co po załadowaniu przez administratora prowadzi do przejęcia jego konta lub eskalacji uprawnień.
Przepełnienie bufora sterty w GPU w Google Chrome przed 107.0.5304.121 pozwalało zdalnemu atakującemu, który przejął proces renderowania, na potencjalne wykonanie ucieczki z piaskownicy poprzez spreparowaną stronę HTML. (Waga bezpieczeństwa Chromium: Wysoka)
W oprogramowaniu sprzętowym Netgear R7000P w wersji V1.3.0.8 wykryto podatność na przepełnienie bufora. Problem występuje podczas przetwarzania parametrów apmode_dns1_pri i apmode_dns1_sec.
W systemie ERP Sankhya przed wersją v4.11b81 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie Caixa de Entrada. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
W libarchive przed wersją 3.6.2 brakuje sprawdzenia błędu po wywołaniu funkcji calloc, która może zwrócić wskaźnik NULL, co prowadzi do dereferencji wskaźnika NULL.
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) poprzez plik rotateimg.php. Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych.
Fusiondirectory 1.3 zawiera podatność na atak XSS przez parametry w adresie URL. Atakujący może wstrzyknąć złośliwy skrypt przez parametry message i plug w kilku ścieżkach aplikacji.
Fusiondirectory 1.3 zawiera podatność związaną z nieprawidłowym zarządzaniem sesjami. Może to umożliwić atakującemu przejęcie sesji użytkownika lub ominięcie mechanizmów uwierzytelniania.
Klasa org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider w Apache MINA SSHD w wersjach do 2.9.1 wykorzystuje deserializację Java do ładowania zserializowanego obiektu java.security.PrivateKey. Jest to jedna z kilku implementacji, które mogą być używane do ładowania kluczy hosta serwera SSH.
Podatność SQL Injection w module Friendly Url w Liferay Portal 7.3.7 oraz Liferay DXP 7.3 fix pack 2 do update 4 umożliwia atakującym wykonanie dowolnych poleceń SQL poprzez spreparowany ładunek wstrzyknięty w pole `title` przyjaznego adresu URL.
Podatność SQL Injection w module Fragment w Liferay Portal 7.3.3 do 7.4.3.16 oraz Liferay DXP 7.3 przed aktualizacją 4 i 7.4 przed aktualizacją 17. Atakujący może wykonać dowolne polecenia SQL poprzez atrybut `namespace` w PortletPreferences.
Podatność w xterm przed wersją 375 umożliwia wykonanie kodu poprzez operacje związane z czcionkami, co może prowadzić do wykonania poleceń w trybie edycji linii vi w Zsh. Problem wynika z możliwości wystąpienia odpowiedzi OSC 50 zawierającej Ctrl-g.
W systemie ESPCMS P8.21120101 wykryto podatność zdalnego wykonania kodu (RCE) w komponencie IS_GETCACHE. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
W systemie ESPCMS P8.21120101 wykryto podatność zdalnego wykonania kodu (RCE) w komponencie INPUT_ISDESCRIPTION. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS