Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce Podlove Podcast Publisher w wersjach do 4.5.4. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce SEO Plugin by Squirrly SEO w wersjach do 14.2.2. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Aora w wersjach do 1.3.19 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Advance Product Search w wersjach do 1.4.8 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce SmartSMTP w wersjach do 1.2.0 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Swatchly – WooCommerce Variation Swatches for Products w wersjach do 1.4.13 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce B2BKing Premium w wersjach do 5.6.07 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce wpDataTables w wersjach do 6.5.1.4 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta w wtyczce WordPress Persistent Login w wersjach do 3.1.0 włącznie. Użytkownik z rolą subskrybenta może wykonać nieautoryzowane zapytania do bazy danych.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Tagembed w wersjach do 7.4 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce TranslatePress w wersjach do 3.3.2 włącznie.
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce JetEngine w wersjach do 3.8.14.1 włącznie.
Nieuwierzytelniona podatność Local File Inclusion w frameworku Golo w wersjach starszych niż 1.7.5.
Nieuwierzytelniona podatność Local File Inclusion w Shuffle w wersjach do 1.8 włącznie.
W FreeIPA wykryto podatność, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykorzystanie punktu końcowego `/ipa/i18n_messages` poprzez wysłanie dowolnie dużego żądania. Może to spowodować nadmierne zużycie pamięci, prowadząc do wyczerpania pamięci, pogorszenia responsywności i warunków DoS.
W FreeIPA wykryto podatność, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wysyłanie nadmiernie dużych żądań POST do punktu końcowego `/ipa/migration/migration.py`. Może to zmusić moduł migracji do wczytania całego treści żądania do pamięci, co prowadzi do zwiększonego zużycia pamięci, wolniejszego przetwarzania żądań i potencjalnych zakłóceń usług lub DoS.
W FreeIPA wykryto podatność na eskalację uprawnień. Ograniczenie unikalności nałożone na atrybuty nazw głównych Kerberos w serwerze katalogowym 389-ds nie uwzględnia równoważnych reprezentacji tej samej nazwy głównej, co pozwala użytkownikowi z odpowiednimi uprawnieniami zapisu LDAP na utworzenie jednostki usługi podszywającej się pod istniejącą uprzywilejowaną jednostkę. Może to prowadzić do nieautoryzowanego uzyskania biletów usług Kerberos dla wrażliwych usług, a w konsekwencji do pełnego przejęcia domeny.
W libvirt wykryto podatność polegającą na przepełnieniu liczby całkowitej w obsłudze RPC NodeGetFreePages. Nieuprzywilejowany użytkownik lokalny może wykorzystać tę podatność, aby ominąć kontrolę rozmiaru, co prowadzi do zbyt małego bufora pamięci. Następnie dane NUMA mogą nadpisać ten bufor, powodując przepełnienie sterty, co może uszkodzić pamięć głównego demona libvirt i prowadzić do DoS lub lokalnej eskalacji uprawnień.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS