Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Recipe Card Blocks dla Gutenberg i Elementor w wersjach do 3.4.18.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Chaty Pro w wersjach do 3.5.8.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Affiliates Manager w wersjach do 2.9.53.
Nieuwierzytelniona możliwość dowolnego usuwania treści w wtyczce Breeze w wersjach do 2.5.12.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WordPress Social Login and Register w wersjach do 7.8.1.
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
Podatność SQL Injection w wtyczce License Manager for WooCommerce w wersjach do 3.0.18. Atakujący może wstrzyknąć złośliwy kod SQL przez pole klienta.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w WP Multilang w wersjach do 2.4.31. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Wtyczka WPDM – Premium Packages (W3 Eden) jest podatna na Cross-site Scripting (XSS) typu DOM-Based z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 7.0.5.
Podatność nieuwierzytelnionego pobierania dowolnych plików w Extra Product Options & Add-Ons for WooCommerce w wersjach poniżej 7.6. Atakujący może pobrać dowolne pliki z serwera.
W n8n, platformie automatyzacji przepływów pracy, przed wersjami 1.123.64, 2.29.8 i 2.30.1, operacja klonowania węzła Git pozwala uwierzytelnionemu użytkownikowi przepływu pracy na podmianę zweryfikowanego katalogu na dowiązanie symboliczne przed klonowaniem, co umożliwia umieszczenie spreparowanego repozytorium w katalogu węzłów społeczności, które po restarcie ładuje się jako niestandardowy węzeł JavaScript i wykonuje dowolny kod na serwerze.
W Hoppscotch, ekosystemie do tworzenia API, przed wersją 2026.6.0, ścieżki GraphQL team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments i settings ujawniają prywatne dane użytkownika innego członka zespołu, a usługi toggleHistoryStatus i removeRequestFromHistory w UserHistory akceptują identyfikator historii innego użytkownika bez sprawdzania własności userUid, co pozwala uwierzytelnionemu członkowi zespołu na odczyt prywatnej historii żądań, danych sesji, treści żądań, nagłówków autoryzacji, wartości środowiskowych i ustawień oraz modyfikację lub usunięcie prywatnych wpisów historii ofiary.
Podatność Cross-site Scripting (DOM-Based XSS) w wtyczce WordPress EasyTest – Simplify A/B Testing wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.0.1 włącznie.
W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Templately w wersjach do 3.7.1. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Wtyczka Slider by 10Web (wersje do 1.2.63) jest podatna na atak Cross-Site Request Forgery (CSRF). Atakujący może zmusić zalogowanego użytkownika do wykonania niechcianych działań w aplikacji, takich jak zmiana ustawień slidera.
Nieuwierzytelniony atak XSS w pakiecie Fluent Forms Pro Add On Pack w wersjach starszych niż 6.2.12. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Nieuwierzytelniony atak XSS w bibliotece Kirki w wersjach do 6.2.3. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Nieuwierzytelniona podatność SQL Injection w Depicter Slider w wersjach do 4.8.0. Atakujący może wstrzyknąć złośliwe zapytania SQL do bazy danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS