Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wykryto podatność w urządzeniach Tenda TX3 do wersji 16.03.13.11_multi, która dotyczy nieznanej funkcji pliku /goform/SetIpMacBind. Manipulacja listą argumentów prowadzi do przepełnienia bufora.
W systemie zamówień online Projectworlds w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcji pliku /view-ticket.php. Manipulacja argumentem ID może prowadzić do wstrzyknięcia SQL.
Zidentyfikowano słabość w projekcie Online Music Site w wersji 1.0, dotyczącą nieznanej funkcji w pliku /Administrator/PHP/AdminUpdateCategory.php. Manipulacja argumentem txtimage umożliwia nieograniczone przesyłanie plików.
W projekcie Online Music Site 1.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanego przetwarzania pliku /Administrator/PHP/AdminUpdateCategory.php. Manipulacja argumentem txtcat prowadzi do wstrzykiwania SQL.
W urządzeniu D-Link DIR-823X w wersji 250416 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /goform/set_ac_status. Manipulacja argumentami ac_ipaddr/ac_ipstatus/ap_randtime prowadzi do wstrzyknięcia poleceń systemowych.
Wtyczka JAY Login & Register dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.6.03 włącznie. Problem wynika z możliwości aktualizacji dowolnych metadanych użytkownika przez funkcję 'jay_panel_ajax_update_profile'.
Zidentyfikowano podatność w urządzeniu D-Link DIR-823X 250416, która dotyczy nieznanej funkcji pliku /goform/set_server_settings w komponencie obsługi parametrów konfiguracyjnych. Manipulacja argumentami terminal_addr/server_ip/server_port prowadzi do wstrzyknięcia poleceń systemowych.
W systemie UTT HiPER 810 w wersji 1.7.4-141218 zidentyfikowano podatność, która dotyczy funkcji sub_4407D4 w pliku /goform/formReleaseConnect komponentu rehttpd. Manipulacja argumentem Isp_Name może prowadzić do wstrzyknięcia poleceń.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /admin/edit_activity.php. Manipulacja argumentem activity_id prowadzi do wstrzyknięcia SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /admin/edit_expenses.php. Manipulacja argumentem expenses_id prowadzi do wstrzykiwania SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 znaleziono lukę, która dotyczy nieznanego przetwarzania pliku /admin/delete_expenses.php. Manipulacja argumentem expenses_id prowadzi do wstrzykiwania SQL.
W systemie zarządzania społeczeństwem itsourcecode w wersji 1.0 wykryto podatność, która dotyczy nieznanego kodu w pliku /admin/edit_admin.php. Manipulacja argumentem admin_id prowadzi do wstrzyknięcia SQL, co może być przeprowadzone zdalnie.
W Wekan przed wersją 8.20 użytkownicy niebędący administratorami mogą uzyskać dostęp do funkcji migracji z powodu niewystarczających kontroli uprawnień, co może prowadzić do nieautoryzowanych operacji migracyjnych.
Router Tenda G300-F w wersji oprogramowania 16.01.14.2 i wcześniejszych zawiera podatność na wstrzykiwanie poleceń systemowych w funkcjonalności diagnostyki WAN (formSetWanDiag). Wdrożenie to konstruuje polecenie powłoki, które wywołuje curl i włącza dane kontrolowane przez atakującego bez odpowiedniego neutralizowania.
Podatność IDOR w WeKan przed wersją 8.19 umożliwia manipulację identyfikatorami między tablicami podczas tworzenia list kontrolnych. Brak weryfikacji, czy podane cardId należy do podanego boardId, pozwala atakującemu na dostęp do list kontrolnych w innych tablicach.
Podatność IDOR w WeKan przed wersją 8.19 umożliwia manipulację identyfikatorami między tablicami podczas tworzenia list kontrolnych. Brak weryfikacji, czy podane cardId należy do podanego boardId, pozwala atakującemu na dostęp do list kontrolnych z innych tablic.
Podatność w WeKan przed wersją 8.19 wynika z niewystarczającej walidacji identyfikatorów (boardId, cardId, swimlaneId, listId) w API do przesyłania załączników. Brak spójności tych identyfikatorów umożliwia atakującemu przesyłanie załączników z nieprawidłowymi relacjami między obiektami.
Wykryto podatność bezpieczeństwa w yuan1994 tpadmin do wersji 1.3.12, która dotyczy nieznanej części biblioteki /public/static/admin/lib/webuploader/0.1.5/server/preview.php komponentu WebUploader. Manipulacja prowadzi do deserializacji, a atak może być przeprowadzony zdalnie.
W systemie SourceCodester Online Class Record System w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanego przetwarzania pliku /admin/message/search.php. Manipulacja argumentem 'term' może prowadzić do wstrzyknięcia SQL.
W systemie SourceCodester Online Class Record System w wersji 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /admin/subject/controller.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, co umożliwia zdalne wykorzystanie tej podatności.