Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry kategorii kursu do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez parametry sekwencjonowania zasobów.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry skype i linedin_url do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr koła umiejętności (skills wheel) do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr tytułu forum do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w parametrze ogłoszeń systemowych. Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
W bibliotece Libtiff w wersji 4.0.7 odkryto podatność na przepełnienie bufora. Lokalny atakujący może wykorzystać funkcję tiffcp w pliku tiffcp.c, aby spowodować odmowę usługi (DoS).
Wskaźniki jądra są drukowane w pliku dziennika przed wydaniem SMR May-2023 Release 1, co pozwala uprzywilejowanemu lokalnemu atakującemu obejść ASLR. Podatność dotyczy urządzeń z systemem Android.
Podatność polegająca na użyciu wskaźnika poza zakresem w repozytorium GitHub vim/vim przed wersją 9.0.1499.
W Intermesh BV Group-Office w wersji 6.6.145 wykryto odbiciowe podatność na ataki typu Cross Site Scripting (XSS). Atakujący może wykorzystać ciasteczko GO_LANGUAGE do eskalacji uprawnień i uzyskania wrażliwych informacji.
W ToolJet w wersji 1.6.0 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML do komponentu Comment Body.
Krytyczna podatność SQL Injection w Campcodes Retro Basketball Shoes Online Store 1.0 w pliku details.php poprzez manipulację argumentem id. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Krytyczna podatność SQL Injection w Campcodes Retro Basketball Shoes Online Store 1.0 w pliku contactus1.php poprzez manipulację argumentem email. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Krytyczna podatność SQL Injection w Campcodes Retro Basketball Shoes Online Store 1.0 w pliku contactus.php poprzez manipulację argumentem email. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W sklepie internetowym Campcodes Retro Basketball Shoes Online Store 1.0 znaleziono krytyczną podatność w pliku /function/login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL, co umożliwia zdalny atak. Exploit został ujawniony publicznie.
W sklepie internetowym Campcodes Retro Basketball Shoes Online Store 1.0 znaleziono krytyczną podatność w pliku faqs.php. Manipulacja argumentem id prowadzi do wstrzyknięcia SQL, co umożliwia zdalny atak. Exploit został ujawniony publicznie.
Wtyczka gatsby-plugin-sharp do frameworka Gatsby zawiera podatność typu path traversal ujawnianą podczas uruchamiania serwera deweloperskiego Gatsby (`gatsby develop`). Domyślnie serwer ten jest dostępny tylko przez localhost 127.0.0.1, ale jeśli zostanie wystawiony na inne interfejsy (np. przez --host 0.0.0.0), atakujący może uzyskać dostęp do odczytu wszystkich plików w zasięgu procesu serwera. Poprawka została wprowadzona w wersjach 5.8.1 i 4.25.1.
Auto Dealer Management System w wersji 1.0 zawiera podatność na atak typu cross-site scripting (XSS) poprzez parametr name w skrypcie /classes/SystemSettings.php?f=update_settings. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
Podatność w interfejsie zarządzania opartym na sieci Web w routerach Cisco Small Business RV016, RV042, RV042G, RV082, RV320 i RV325 może pozwolić uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń na urządzeniu. Podatność wynika z niewłaściwej walidacji danych wejściowych w przychodzących pakietach HTTP. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie HTTP do interfejsu zarządzania. Udana eksploatacja może pozwolić atakującemu na uzyskanie uprawnień roota i dostęp do nieautoryzowanych danych. Aby wykorzystać tę podatność, atakujący musi mieć ważne poświadczenia administracyjne na urządzeniu. Cisco nie wyda i nie planuje wydać aktualizacji oprogramowania, które rozwiązują tę podatność. Administratorzy mogą jednak wyłączyć dotkniętą funkcję, jak opisano w sekcji obejść.
W LiveAction LiveSP w wersji 21.1.2 wykryto podatność na wstrzykiwanie kodu HTML (stored HTML injection). Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS