Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.14)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka JetEngine dla WordPressa jest podatna na atak typu SQL Injection poprzez akcję AJAX `listing_load_more` we wszystkich wersjach do i włącznie z 3.8.6.1. Problem wynika z wykluczenia parametru `filtered_query` z walidacji podpisu HMAC, co pozwala na ominięcie zabezpieczeń przez złośliwych użytkowników.
Vitals ESP opracowany przez Galaxy Software Services ma lukę związaną z brakiem uwierzytelnienia, co pozwala nieautoryzowanym zdalnym atakującym na wykonywanie określonych funkcji w celu uzyskania wrażliwych informacji.
Vitals ESP opracowany przez Galaxy Software Services zawiera podatność na błędną autoryzację, która pozwala uwierzytelnionym zdalnym atakującym na wykonywanie niektórych funkcji administracyjnych, co prowadzi do eskalacji uprawnień.
Zidentyfikowano słabość w systemie rejestracji online itsourcecode w wersji 1.0. Podatność ta dotyczy nieznanego kodu w pliku /sms/user/index.php?view=add komponentu Parameter Handler, co może prowadzić do wstrzyknięcia SQL.
Wykryto podatność w urządzeniach D-Link DIR-825 i DIR-825R w wersjach 1.0.5/4.5.1, dotycząca funkcji handler_update_system_time w pliku libdeuteron_modules.so komponentu NTP Service. Manipulacja tą funkcją prowadzi do zdalnego wstrzyknięcia poleceń systemowych.
Podatność typu Path Traversal w TeamJCD JoyConDroid (moduły app/src/main/java/com/rdapps/gamepad/util) związana jest z plikiem UnzipUtil.Java. Umożliwia ona nieprawidłowe ograniczenie ścieżki do katalogu, co może pozwolić na dostęp do plików poza zamierzonym katalogiem. Problem dotyczy wersji do 1.0.93.
Podatność Use After Free w No-Chicken Echo-Mate (moduły SDK/rv1106-sdk/sysdrv/source/kernel/mm) związana jest z plikiem rmap.C. Problem dotyczy wersji przed V250329.
Podatność na nieprawidłowe obsługiwanie wartości w No-Chicken Echo-Mate (moduły SDK/rv1106-sdk/sysdrv/source/kernel/include/net/netfilter), związana z plikami nf_tables.H, nft_byteorder.C, nft_meta.C.
Podatność na deserializację niezaufanych danych w DTStack chunjun (moduły chunjun-core/src/main/java/com/dtstack/chunjun/util), związana z plikiem GsonUtil.Java.
Podatność na odczyt poza zakresem w tildearrow furnace (moduły extern/libsndfile-modified/src), związana z plikiem flac.C.
Podatność na przepełnienie liczby całkowitej (Integer Overflow) w artraweditor ART (moduły rtengine), związana z plikiem dcraw.C.
W systemie Online Admission System 1.0 od SourceCodester znaleziono lukę, która dotyczy nieznanej funkcji w pliku /programmes.php. Manipulacja argumentem 'program' może prowadzić do wstrzyknięcia SQL.
W systemie zarządzania biblioteką online SourceCodester w wersji 1.0 wykryto podatność. Problem dotyczy nieznanej funkcji w pliku /home.php komponentu Parameter Handler, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem searchField.
W systemie zarządzania relacjami z klientami Jeson wykryto podatność, która dotyczy nieznanej funkcji w pliku /api/System.php modułu API. Manipulacja argumentem url prowadzi do ataku typu server-side request forgery, który można przeprowadzić zdalnie.
Mod_gnutls to moduł TLS dla Apache HTTPD oparty na GnuTLS. W wersjach przed 0.12.3 i 0.13.0 kod weryfikacji certyfikatów klienta importował łańcuch certyfikatów bez sprawdzania jego długości, co mogło prowadzić do błędów segmentacji.
Wykorzystanie po zwolnieniu pamięci w FedCM w Google Chrome przed wersją 146.0.7680.165 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
Przepełnienie całkowitej liczby w czcionkach w Google Chrome przed wersją 146.0.7680.165 umożliwia zdalnemu atakującemu wykonanie zapisu pamięci poza dozwolonym zakresem za pomocą spreparowanej strony HTML.
Wykorzystanie po zwolnieniu pamięci w WebGPU w Google Chrome przed wersją 146.0.7680.165 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
Nieodpowiednia implementacja WebAudio w Google Chrome przed wersją 146.0.7680.165 umożliwiała zdalnemu atakującemu wykonanie odczytu pamięci poza dozwolonym zakresem za pomocą spreparowanej strony HTML.
Wykorzystanie po zwolnieniu pamięci w Dawn w Google Chrome przed wersją 146.0.7680.165 umożliwia zdalnemu atakującemu potencjalne przeprowadzenie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.