Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.14)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Qool CMS zawiera wiele podatności na trwałe ataki typu cross-site scripting w kilku skryptach administracyjnych, gdzie parametry POST nie są odpowiednio oczyszczane przed zapisaniem i zwróceniem użytkownikom. Atakujący mogą wstrzykiwać złośliwy kod JavaScript przez parametry takie jak 'title', 'name', 'email', 'username', 'link' i 'task'.
W bibliotece libarchive wykryto błąd w logice dekompresji archiwów RAR5, który podczas przetwarzania specjalnie spreparowanego archiwum prowadzi do nieskończonej pętli. Pętla ta nieprzerwanie zużywa zasoby procesora, a ponieważ archiwum przechodzi walidację sumy kontrolnej, aplikacje nie są w stanie wykryć problemu przed rozpoczęciem przetwarzania.
Podatność CVE-2026-4092 dotyczy ataku typu Path Traversal w Clasp w wersjach poniżej 3.2.0, co pozwala zdalnemu atakującemu na wykonanie złośliwego kodu poprzez projekt Google Apps Script zawierający specjalnie przygotowane nazwy plików z sekwencjami przechodzenia przez katalogi.
Podatność związana z naruszeniem kontroli dostępu może pozwolić uwierzytelnionemu użytkownikowi na przeprowadzenie poziomej eskalacji uprawnień. Dotyczy ona tylko określonych konfiguracji.
Nieodpowiednia implementacja w silniku V8 w Google Chrome przed wersją 146.0.7680.75 umożliwiała zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
W Skia w Google Chrome przed wersją 146.0.7680.75 wystąpił błąd zapisu poza granicami, który umożliwiał zdalnemu atakującemu dostęp do pamięci poza dozwolonym obszarem za pomocą spreparowanej strony HTML.
Podatność związana z użyciem twardo zakodowanych poświadczeń w Avantra umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Avantra przed 25.3.0.
Wtyczka Appointment Booking Calendar — Simply Schedule Appointments dla WordPressa jest podatna na nieautoryzowany dostęp do wrażliwych danych we wszystkich wersjach do i włącznie z 1.6.9.29. Problem wynika z dwóch słabości: ujawnienia `public_nonce` dla nieautoryzowanych użytkowników oraz niewłaściwej autoryzacji w metodzie `get_item()`.
PyJWT przed wersją 2.12.0 nie waliduje parametru crit (Critical) zdefiniowanego w RFC 7515. Gdy token JWS zawiera tablicę crit z rozszerzeniami, których PyJWT nie rozumie, biblioteka akceptuje token zamiast go odrzucić, co narusza wymaganie MUST z RFC.
W podatności CVE-2026-32459 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce flycart UpsellWP. Problem dotyczy wersji UpsellWP od n/a do 2.2.4.
W podatności CVE-2026-32458 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w edytorze zbiorczym RealMag777 WOLF. Problem dotyczy wersji WOLF od n/a do 1.0.8.7 włącznie.
W podatności CVE-2026-32433 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w formularzu kontaktowym CP z PayPal. Problem dotyczy wersji CP Contact Form with Paypal od n/a do 1.3.61.
W podatności CVE-2026-32426 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy Medilazar Core w wersjach od n/a do poniżej 1.4.7.
W podatności CVE-2026-32422 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce WP EasyCart. Problem dotyczy wersji WP EasyCart od n/a do 5.8.13.
Podatność CVE-2026-32418 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Meow Gallery w wersjach od n/a do 5.4.4.
W podatności CVE-2026-32414 występuje niewłaściwa kontrola generacji kodu ('wstrzykiwanie kodu') w wtyczce ILLID Advanced Woo Labels, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji Advanced Woo Labels od n/a do 2.36 włącznie.
W podatności CVE-2026-32401 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Dotyczy to aplikacji BoldGrid Client Invoicing od wersji n/a do 20.8.9.
W podatności CVE-2026-32400 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Boldman od n/a do 7.7 włącznie.
Podatność CVE-2026-32399 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Media Library Assistant w wersjach od n/a do 3.32.
W podatności CVE-2026-32393 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w dodatkach do motywu Greenly. Problem dotyczy dodatków Greenly Theme od wersji n/a do poniżej 8.2.