Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.19)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Frappe to framework aplikacji webowych full-stack. Przed wersjami 16.23.0 i 15.112.0 generowanie powiadomień Document Follow nie przelicza ponownie bieżących uprawnień odbiorcy, co pozwala użytkownikom z cofniętym lub ograniczonym dostępem nadal otrzymywać dane dokumentów e-mailem.
Podatność w SourceCodester Photo Share Website 1.0 dotyczy nieznanej części pliku /social/ajax.php?action=save_upload komponentu Comment Input Box. Manipulacja argumentem content prowadzi do cross site scripting. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.
File::Rotate::Simple w wersjach przed 0.4.0 dla Perla tworzy cel wiszących dowiązań symbolicznych podczas rotacji plików. Gdy rotowany plik jest dowiązaniem symbolicznym do nieistniejącego pliku i opcja touch jest włączona, metoda rotate zakłada, że plik jest nieobecny i nie rotuje go, ale dotyka pliku, co tworzy cel. Atakujący, który może utworzyć dowiązanie symboliczne, może wykorzystać to do utworzenia dowolnego pliku z uprawnieniami procesu rotującego pliki.
W SourceCodester Photo Share Website 1.0 wykryto podatność XSS w nieznanej funkcji pliku /social/index.php?page=home. Manipulacja argumentem Comment prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
W WonderTrader do wersji 0.9.9 wykryto podatność w funkcji TraderDD::queryTrades w pliku src/TraderDD/TraderDD.cpp. Manipulacja argumentem FID_JYLB prowadzi do naruszenia przepływu pracy. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Exploit jest publiczny, a vendor nie odpowiedział.
W PHPGurukul Company Visitor Management System 1.0 wykryto podatność XSS w pliku /manage-newvisitors.php. Manipulacja argumentem fullname prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
W sterowniku sieci wirtualnych libvirt wykryto podatność na wstrzykiwanie. Parser XML sieci nie usuwa znaków nowej linii z wartości atrybutów rekordów DNS TXT oraz domen/atrybutów SRV. Te wartości są zapisywane bezpośrednio do pliku konfiguracyjnego dnsmasq, co pozwala użytkownikowi z uprawnieniami do definiowania sieci wirtualnych na wstrzyknięcie dowolnych dyrektyw dnsmasq, takich jak dhcp-script, prowadząc do wykonania dowolnych poleceń jako root.
Hash hasła roota urządzenia można uzyskać poprzez niezaszyfrowane informacje w oprogramowaniu układowym.
Mermaid przed wersjami 10.9.8 i 11.16.1 ma podatność na zanieczyszczenie prototypu przez konfigurację dostarczaną przez aplikację do setterów konfiguracyjnych. Diagramy nie są podatne.
Traefik od 3.6.11 do 3.6.25 i 3.7.10 ma podatność w middleware BasicAuth, która pozwala atakującemu z ważnym poświadczeniem i hashem uwierzytelnić się jako niekonfigurowana nazwa użytkownika.
GitHub CLI przed wersją 2.97.0 nie escapuje metaznaków regex w wartościach --signer-repo i --signer-workflow, co pozwala atakującemu na obejście weryfikacji attestacji Sigstore przez podobnie nazwane repozytorium.
GitHub CLI przed wersją 2.97.0 maskuje tylko część tokenów w gh auth status, co może ujawnić fragmenty tokenów w logach terminala lub CI.
OpenReception przed wersją 1.0.6 ma zbyt słaby proof-of-work (16 bitów) w endpointcie bootstrap-challenge, co pozwala na łatwe obejście rate-limitu i automatyzację ataków na proces rezerwacji.
OpenReception przed wersją 1.0.6 ma podatność w usuwaniu pracownika przez TENANT_ADMIN, która usuwa zaproszenia użytkowników w innych tenantach o tym samym adresie email.
Przepełnienie liczby całkowitej w module GPU w przeglądarce Google Chrome przed wersją 151.0.7922.109 umożliwiło zdalnemu atakującemu, który skompromitował proces renderowania, wyciek danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Wysoka dotkliwość wg Chromium)
Użycie niezainicjalizowanych danych (Uninitialized Use) w module Skia w przeglądarce Google Chrome przed wersją 151.0.7922.109 umożliwiło zdalnemu atakującemu, który skompromitował proces renderowania, wyciek danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Wysoka dotkliwość wg Chromium)
Użycie niezainicjalizowanych danych (Uninitialized Use) w module Skia w przeglądarce Google Chrome przed wersją 151.0.7922.109 umożliwiło zdalnemu atakującemu, który skompromitował proces renderowania, wyciek danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Wysoka dotkliwość wg Chromium)
DataGear do wersji 5.0.0 ma podatność XSS w funkcji HtmlTplDashboardWidgetHtmlRenderer, gdzie argument Title jest niewłaściwie obsługiwany, co pozwala na zdalne wykonanie skryptów.
InstaKNXServiceApp 1.2.3.1469 ma podatność w funkcji CreateWebClientAndDownloadFileList, która nie weryfikuje wystarczająco autentyczności danych podczas aktualizacji firmware, co może pozwolić na zdalne ataki.
W FoundationAgents MetaGPT do wersji 0.8.2 wykryto podatność na manipulację ścieżką (path traversal) w funkcji read pliku metagpt/tools/libs/editor.py. Atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.