Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność XSS w Gazie 7.29 umożliwia atakującemu wstrzyknięcie kodu JavaScript poprzez parametr 'user_name' w skrypcie admin_utente.php. Wstrzyknięty kod jest trwale przechowywany przez aplikację.
W sposobie, w jaki przeglądarki Microsoft uzyskują dostęp do obiektów w pamięci, występuje luka umożliwiająca zdalne wykonanie kodu. Luka może uszkodzić pamięć w sposób pozwalający atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący, który pomyślnie wykorzysta lukę, może uzyskać takie same uprawnienia jak bieżący użytkownik.
Zidentyfikowano podatność w rodzinie CPU SIMATIC S7-300, S7-400, WinAC RTX (F) 2010 oraz SINUMERIK 840D sl. Protokół uwierzytelniania między klientem a PLC przez port 102/tcp (ISO-TSAP) niewystarczająco chroni przesyłane hasło.
W systemie Daily Tracker System w wersji 1.0 od SourceCodester wykryto podatność na atak XSS w pliku 'user-profile.php'. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'fullname'.
Podatność w uprawnieniach do katalogów w Cisco Enterprise NFV Infrastructure Software (NFVIS) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu directory traversal na ograniczony zestaw katalogów. Problem wynika z błędu w logice zarządzania uprawnieniami do katalogów. Udane wykorzystanie może pozwolić na nadpisanie plików na urządzeniu.
Podatność XSS w Spiceworks w wersji 7.5.00107 i starszych. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez pole nazwy w funkcji grup niestandardowych, który jest następnie wyświetlany bez sanityzacji na stronie /inventory/groups/.
Podatność XSS w osTicket przed wersją 1.14.3 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez spreparowaną nazwę pliku przesyłanego do funkcji _uploadInlineImage() w pliku include/ajax.draft.php.
Podatność XSS w osTicket przed wersją 1.14.3 wynika z braku walidacji danych wejściowych w pliku include/staff/banrule.inc.php, gdzie funkcja echo wyświetla zmienną $info['notes'] bez odpowiedniego oczyszczenia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników.
Występuje podatność na zdalne wykonanie kodu w bibliotece kodeków Microsoft Windows, związana z obsługą obiektów w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może wykonać dowolny kod, pod warunkiem, że program przetworzy specjalnie przygotowany plik graficzny.
Występuje luka umożliwiająca podniesienie uprawnień, gdy atakujący ustanawia podatne połączenie kanału bezpiecznego Netlogon z kontrolerem domeny przy użyciu protokołu Netlogon Remote Protocol (MS-NRPC). Atakujący, który pomyślnie wykorzysta lukę, może uruchomić specjalnie spreparowaną aplikację na urządzeniu w sieci. Aby wykorzystać lukę, nieuwierzytelniony atakujący musi użyć MS-NRPC do połączenia się z kontrolerem domeny w celu uzyskania dostępu administratora domeny.
Podatność w domyślnej konfiguracji FortiOS pozwala nieuwierzytelnionemu atakującemu w tej samej podsieci na przechwycenie wrażliwych informacji przez podszywanie się pod serwer LDAP.
Złośliwa strona internetowa mogła nadpisać wstrzyknięty skrypt WKUserScript używany przez funkcję pobierania, co mogło skutkować pobraniem przez użytkownika niezamierzonego pliku. Podatność dotyczy Firefox for iOS przed wersją 28.
Złośliwa strona internetowa może nadpisać wstrzyknięty WKUserScript używany przez autouzupełnianie logowania, co może doprowadzić do wycieku hasła dla bieżącej domeny. Podatność dotyczy Firefox for iOS < 28.
Sonatype Nexus Repository Manager OSS/Pro w wersjach przed 3.25.1 zawiera podatność typu XSS (problem 2 z 2). Umożliwia to wstrzyknięcie złośliwego skryptu do interfejsu użytkownika.
Sonatype Nexus Repository Manager OSS/Pro w wersjach przed 3.25.1 zawiera podatność typu XSS (problem 1 z 2). Umożliwia to wstrzyknięcie złośliwego skryptu do interfejsu użytkownika.
W Apache ActiveMQ Artemis w wersjach od 2.5.0 do 2.13.0 istnieje podatność na atak XSS, która może być wykorzystana poprzez specjalnie skonstruowany pakiet MQTT zawierający ładunek XSS w nazwie client-id lub tematu. Ładunek XSS jest wstrzykiwany do przeglądarki konsoli administracyjnej.
Nieprawidłowa kontrola dostępu w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz Citrix SDWAN WAN-OP w wersjach przed 11.1.1a, 11.0.3d i 10.2.7 skutkuje ograniczonym ujawnieniem informacji użytkownikom o niskich uprawnieniach.
Nieprawidłowa walidacja danych wejściowych w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz Citrix SDWAN WAN-OP w wersjach przed 11.1.1a, 11.0.3d i 10.2.7 skutkuje ograniczonym ujawnieniem informacji użytkownikom o niskich uprawnieniach.
Nieprawidłowa kontrola dostępu w Citrix ADC i Citrix Gateway w wersjach przed 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 i 10.5-70.18 oraz w Citrix SDWAN WAN-OP przed 11.1.1a, 11.0.3d i 10.2.7 pozwala nieuwierzytelnionym użytkownikom na dostęp do niektórych punktów końcowych URL.
IndexedDB powinno być czyszczone po opuszczeniu trybu prywatnego, ale nie jest, ponieważ API WKWebViewConfiguration było używane nieprawidłowo i wymaga usunięcia prywatnej instancji tego obiektu po opuszczeniu trybu prywatnego. Podatność dotyczy Firefox for iOS przed wersją 27.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS