Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieuwierzytelniona eskalacja uprawnień w Total Donations w wersjach do 2.0.5.
Nieuwierzytelniona iniekcja obiektów PHP w Kalles Addons w wersjach do 1.0.6.
Nieuwierzytelniona iniekcja SQL w Nikstore Core w wersjach do 1.5.
Wtyczka Resido w wersjach do 1.5 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Atakujący bez logowania może odczytać dowolne pliki z serwera, wykorzystując parametr ścieżki.
Wtyczka Track Geolocation Of Users Using Contact Form 7 w wersjach do 3.0.2 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Atakujący bez logowania może uzyskać dostęp do danych, które powinny być chronione.
Wtyczka Outranking Plugin Options w wersjach do 1.1.3 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu. Atakujący bez logowania może zmieniać opcje wtyczki, co może prowadzić do nieautoryzowanych zmian konfiguracji.
Wtyczka Pay with Contact Form 7 w wersjach do 1.0.4 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Atakujący bez logowania może uzyskać dostęp do danych płatniczych lub innych poufnych informacji.
Podatność typu PHP Object Injection w wtyczce Flexible Subscriptions w wersjach do 1.8.1 włącznie. Umożliwia atakującemu wstrzyknięcie złośliwych obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub wykonania kodu.
Nieuwierzytelniona podatność na złamanie kontroli dostępu w wtyczce Taxi Booking Manager dla WooCommerce w wersjach przed 2.0.8. Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych działań.
Wtyczka SimplyRETS Real Estate IDX w wersjach do 3.2.8 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w aplikacji TrueBooker w wersjach do 1.2.6 włącznie. Atakujący bez logowania może podnieść swoje uprawnienia, np. do poziomu administratora.
Podatność typu SQL Injection w wtyczce NGG Smart Image Search w wersjach starszych niż 4.0.0. Nieuwierzytelniony atakujący może wstrzykiwać zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
Wtyczka Global Gallery w wersjach do 11.1.2 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność typu SQL Injection w wtyczce Maps Marker Pro w wersjach do 4.32 włącznie. Nieuwierzytelniony atakujący może wstrzykiwać zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
Wtyczka BBQ Pro w wersjach do 3.9 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Krytyczna podatność (CVSS 9.8) w rozszerzeniu Joomla Balbooa Forms w wersjach starszych niż 2.4.3.2. Umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie i wykonanie dowolnego kodu PHP na serwerze poprzez parametr URL w shortcode, gdy formularz ma skonfigurowany niestandardowy handler PHP.
Rozszerzenie Joomla Balbooa Forms w wersjach przed 2.4.3.2 zawiera podatność na manipulację kwotą płatności przed autoryzacją. Endpointy stripeCharges i payAuthorize przyjmują całkowitą kwotę z parametru kontrolowanego przez klienta i przekazują ją do bramki płatności bez ponownego przeliczenia na podstawie skonfigurowanych cen produktów. Endpointy nie wymuszają uwierzytelnienia ani kontroli CSRF. Nieuwierzytelniony atakujący może kupić dowolny produkt za dowolną kwotę (np. 0,01 USD) oraz sfałszować pozycje, ilości i koszty wysyłki.
Podatność na wstrzyknięcie SQL w wtyczce Community by PeepSo w wersjach do 9.0.5.2. Atakujący z rolą subskrybenta może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
Nieuwierzytelnione podatność na Cross Site Scripting (XSS) w wtyczce Newsletter w wersjach do 9.3.3. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.