Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
W Liferay Portal 7.3.5 do 7.4.0 oraz Liferay DXP 7.3 przed service pack 3 znaleziono podatności na ataki XSS. Atakujący może wstrzyknąć dowolny skrypt lub HTML przez pole pomocy formularza w module Forms lub App Builder.
W aplikacji EasyIO CPT Graphics w wersji 0.8 wykryto problem umożliwiający atakującym identyfikację prawidłowych użytkowników systemu. Podatność ta pozwala na enumerację kont bez autoryzacji.
Podatność typu Directory Traversal w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wykorzystać parametr 'page' w pliku index.php do odczytu dowolnych plików na serwerze.
W panelu administracyjnym Exrick XMall wykryto podatność na atak XSS (Cross Site Scripting) w pliku product-add.jsp. Atakujący może wstrzyknąć złośliwy skrypt poprzez parametr GET, co prowadzi do wykonania kodu JavaScript w przeglądarce ofiary.
Urządzenie Dr Trust USA iCheck Connect BP Monitor BP Testing 118 w wersji 1.2.1 jest podatne na przesyłanie żądań zapisu i znaków, co może umożliwić atakującemu manipulację danymi lub funkcjami urządzenia.
W oprogramowaniu Chikista Patient Management Software 2.0.2 wykryto podatność na atak typu Cross Site Scripting (XSS) w parametrze first_name. Podatność występuje na stronach: patient/insert, patient_report, appointment_report, visit_report oraz bill_detail_report.
W systemie Online Banking System Protect v1.0 odkryto wiele podatności na ataki typu cross-site scripting (XSS). Podatności te występują w parametrach związanych z profilem użytkownika, informacjami systemowymi oraz zarządzaniem kontami.
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 odkryto brak uwierzytelnienia w funkcji API w pliku test.asp. Umożliwia to atakującemu zdalną modyfikację wielu ustawień urządzenia bez podawania jakichkolwiek danych logowania.
Podatność na trwałe ataki XSS w systemie Hospital Patient Record Management System v1.0 umożliwia atakującym wstrzyknięcie złośliwych skryptów lub kodu HTML przez pole 'special'.
vCenter Server zawiera podatność ujawnienia informacji z powodu niewłaściwych uprawnień do plików. Złośliwy aktor z dostępem nieadministracyjnym do vCenter Server może wykorzystać ten problem, aby uzyskać dostęp do poufnych informacji.
CheckMK Raw Edition w wersjach od 1.5.0 do 1.6.0 nie oczyszcza danych wejściowych parametru usługi sieciowej w strefie nieuwierzytelnionej. Ta odbita podatność XSS umożliwia atakującemu otwarcie backdoora na urządzeniu za pomocą treści HTML interpretowanej przez przeglądarkę (np. JavaScript) lub kradzież ciasteczek sesji uwierzytelnionego użytkownika poprzez atak man-in-the-middle.
W Joget DX 7 odkryto podatność na atak XSS (cross-site scripting) poprzez tabelę Datalist. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Podatność w SurveyKing v0.2.0 polega na tym, że sesyjne ciasteczka użytkownika nie są usuwane po wylogowaniu. Atakujący może wykorzystać przeglądarkową pamięć podręczną, aby zalogować się do systemu i uzyskać dostęp do danych.
W systemie Yonyou u8 w wersji 13.0 wykryto podatność na atak XSS oparty na DOM poprzez komponent /u8sl/WebHelp. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność na trwałe skrypty między witrynami (XSS) w funkcji przesyłania plików w /admin/show.php umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML za pomocą spreparowanego pliku obrazu.
Odkryto podatność na atak XSS w serwerze BigAnt Server w wersji 5.6.06. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu do strony internetowej.
BigAnt Server w wersji 5.6.06 używa słabych funkcji skrótu do przechowywania haseł, co ułatwia ich odtworzenie.
W MISP przed wersją 2.4.156 zidentyfikowano problem związany z logo organizacji w formacie SVG, które domyślnie nie ma zakazu używania JavaScript.
W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS