Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Aplikacja Kalendarz dla Nextcloud ujawnia niektóre wewnętrzne ścieżki strony, gdy serwer SMTP jest niedostępny. Zaleca się aktualizację aplikacji Kalendarz do wersji 3.5.5 lub 4.2.3.
Nextcloud Mail to aplikacja pocztowa w Nextcloud, która jest podatna na atak typu blind SSRF. Atak ten umożliwia wysyłanie żądań GET do usług działających na tym samym serwerze WWW.
Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Platforma nie filtruje danych wejściowych i nie koduje danych wyjściowych w komunikacie o błędzie walidacji Quick Post, co może prowadzić do ataku XSS.
Moduł obiektów w Liferay Portal w wersjach od 7.4.3.4 do 7.4.3.60 oraz Liferay DXP 7.4 przed aktualizacją 61 nie segmentuje definicji obiektów według wirtualnej instancji w wyszukiwaniach. Umożliwia to zdalnym, uwierzytelnionym użytkownikom w jednej wirtualnej instancji przeglądanie definicji obiektów z drugiej wirtualnej instancji.
Moduł Object w Liferay Portal w wersjach 7.4.3.4 do 7.4.3.48 oraz Liferay DXP 7.4 przed aktualizacją 49 nie izoluje poprawnie obiektów w różnych instancjach wirtualnych. Umożliwia to zdalnym uwierzytelnionym użytkownikom w jednej instancji wirtualnej przeglądanie obiektów w innej instancji wirtualnej za pośrednictwem strony administracyjnej zakresu OAuth 2.
Wtyczka Jenkins SAML Single Sign On (SSO) w wersji 2.1.0 i wcześniejszych bezwarunkowo wyłącza walidację certyfikatów SSL/TLS dla połączeń z miniOrange lub skonfigurowanym IdP w celu pobrania metadanych SAML.
W motywie Turante Sandbox Theme do wersji 1.5.2 znaleziono podatność typu cross-site scripting (XSS). Funkcja sandbox_body_class w pliku functions.php nieprawidłowo obsługuje argument 'page', co pozwala na zdalne przeprowadzenie ataku XSS. Aktualizacja do wersji 1.6.1 rozwiązuje problem.
Podatność polegająca na wycieku pamięci w sterowniku jądra GPU Mali (Midgard, Bifrost, Valhall, Avalon) pozwala nieuprzywilejowanemu użytkownikowi na wykonanie prawidłowych operacji GPU, które ujawniają wrażliwe metadane jądra.
W systemie SourceCodester Best POS Management System 1.0 stwierdzono podatność typu cross-site scripting (XSS) w nieznanej funkcji pliku index.php?page=add-category. Manipulacja argumentem Name za pomocą danych wejściowych "><img src=x onerror=prompt(document.domain);> prowadzi do wykonania skryptu. Atak może być przeprowadzony zdalnie.
W JetBrains IntelliJ IDEA przed wersją 2022.2 możliwe było lokalne wykonanie kodu przez plik wykonywalny Vagrant. Podatność ta pozwalała na uruchomienie złośliwego kodu w kontekście użytkownika.
Podatność w produkcie MySQL Shell firmy Oracle MySQL (komponent: Shell: General/Core Client) dotyczy wersji 8.0.28 i wcześniejszych. Umożliwia nieautoryzowanemu atakującemu, który ma dostęp do infrastruktury, w której działa MySQL Shell, kompromitację tego narzędzia, wymagając jednocześnie interakcji ze strony innej osoby.
W OpenSSH przed wersją 8.9 odkryto problem związany z uwierzytelnianiem kluczem publicznym przy użyciu przekazywania agenta. Jeśli atakujący zmodyfikował serwer, aby wspierał opcję uwierzytelniania None, użytkownik nie może określić, czy uwierzytelnienie FIDO potwierdza chęć połączenia z serwerem, czy też pozwala temu serwerowi na połączenie z innym serwerem w imieniu użytkownika.
Podatność CVE-2020-8562 dotyczy mechanizmu w Kubernetes, który ma na celu zapobieganie dostępowi do sieci lokalnych i localhost przez połączenia proxy. W wyniku błędu w walidacji odpowiedzi DNS, użytkownik może ominąć te ograniczenia i uzyskać dostęp do prywatnych sieci w kontrolerze.
Po początkowym procesie instalacji niektóre kroki pliku setup.php są dostępne nie tylko dla superadministratorów, ale także dla nieuwierzytelnionych użytkowników. Złośliwy aktor może przejść kontrole kroków i potencjalnie zmienić konfigurację frontendu Zabbix.
Podatność polegająca na pobieraniu kodu bez sprawdzania integralności w poleceniu "execute restore src-vis" w FortiOS przed 7.0.3 może pozwolić lokalnemu uwierzytelnionemu atakującemu na pobranie dowolnych plików na urządzenie poprzez specjalnie spreparowane pakiety aktualizacji.
Podatność na spoofing w Microsoft Edge dla iOS. Atakujący może podszyć się pod zaufaną treść, co może prowadzić do wyświetlania fałszywych informacji użytkownikowi.
Podatność na spoofing w Microsoft Edge (Chromium-based). Atakujący może podszyć się pod zaufaną treść, co może prowadzić do wyświetlania fałszywych informacji użytkownikowi.
Podatność na ujawnienie informacji w Azure RTOS. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Podatność na ujawnienie informacji w Azure RTOS. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Podatność na ujawnienie informacji w Azure Sphere. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS