Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka Grand Photography dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Luka występuje we wszystkich wersjach do 5.7.8 włącznie.
Wtyczka RT-Theme 18 | Extensions (rt18-extensions) w wersjach do 2.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu lub manipulacji danymi.
Wtyczka AcyMailing SMTP Newsletter dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 10.11.0 włącznie.
Wtyczka 777 triple-seven do WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 1.13.0 włącznie.
Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.
Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.
Wtyczka Aimogen Pro dla WordPressa zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem. Umożliwia to atakującemu przesłanie złośliwych plików, co może prowadzić do zdalnego wykonania kodu.
Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.
Wtyczka WoowBot Pro Max do WordPressa zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem. Umożliwia to atakującemu przesłanie złośliwych plików, co może prowadzić do zdalnego wykonania kodu.
Wtyczka Simple Business Directory Pro dla WordPressa zawiera podatność na wstrzykiwanie SQL w wersjach do 15.9.4 włącznie. Atakujący może wykorzystać brak odpowiedniej neutralizacji specjalnych elementów w zapytaniach SQL.
Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.
Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.
W Apache Gravitino wykryto podatność na wstrzykiwanie ścieżek URL przez nieskodowane identyfikatory dostarczane przez użytkownika. Problem dotyczy wersji od 1.0.0 do 1.2.0.
Punkt końcowy startu NPC na serwerze WWW na porcie 8090 jest podatny na wstrzykiwanie poleceń. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
Podatność w serwerze WWW pozwala na zapis dowolnych plików poprzez wysłanie żądania POST do konkretnego endpointu. Endpoint akceptuje parametr filename w nagłówku Content-Disposition bez weryfikacji, co umożliwia nadpisanie plików systemowych lub skryptów powłoki.
Podatność powoduje zapisywanie wrażliwych informacji, takich jak hasła i identyfikatory kart ładowania, do plików dziennika. Może to prowadzić do nieautoryzowanego dostępu do tych danych przez osoby z dostępem do logów.
Mechanizm aktualizacji oprogramowania układowego nie zawiera walidacji podpisu kryptograficznego. Umożliwia to osobie z dostępem do funkcji aktualizacji przesłanie dowolnych plików, co może prowadzić do wykonania dowolnego kodu.
Serwer WWW na porcie 8090 nie wymaga uwierzytelnienia, co umożliwia wyciek wrażliwych informacji, takich jak skonfigurowane hasła, oraz przesyłanie plików przez różne punkty końcowe.
Endpoint diagnostyki sieciowej na serwerze WWW na porcie 8090 jest podatny na wstrzykiwanie poleceń. Atakujący może zdalnie wykonać dowolne polecenia systemowe.
Aplikacja EVbee Service dla Androida używa szyfrowania TLS, ale nie weryfikuje certyfikatu serwera, co umożliwia atakującemu w sieci przechwycenie i manipulację komunikacją. Dodatkowo ruch jest słabo szyfrowany przy użyciu RC4 z zakodowanym na stałe kluczem, co pozwala atakującemu uzyskać dostęp do danych, w tym kodów dostępu do stacji ładowania.