Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.31)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność umożliwiająca nieuwierzytelnionemu atakującemu usunięcie dowolnych plików w WooCommerce File Approval w wersjach do 10.7.
Podatność umożliwiająca nieuwierzytelnionemu atakującemu pobranie dowolnych plików w Super Forms w wersjach do 6.3.315.
Podatność Cross Site Scripting (XSS) w Tourmaster w wersjach do 5.4.9, możliwa do wykorzystania bez uwierzytelnienia.
Nieuwierzytelniona podatność na eskalację uprawnień w Digits w wersjach do 9.2. Atakujący może uzyskać wyższe uprawnienia bez logowania.
Podatność Cross Site Scripting (XSS) w Events Made Easy w wersjach do 3.2.5, możliwa do wykorzystania bez uwierzytelnienia.
Podatność Broken Access Control w Notification Master – Real-Time WordPress Notifications With Email, SMS, Webhooks & More w wersjach do 1.7.1, możliwa do wykorzystania bez uwierzytelnienia.
Nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion) w Tonda Core w wersjach starszych niż 2.6.
Nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion) w Tonda w wersjach starszych niż 2.6.
Oprogramowanie układowe routerów KAON PG5298A i PG5298B umożliwia uwierzytelnionemu użytkownikowi wysyłanie spreparowanych żądań JSON-RPC i wykonywanie operacji niedostępnych przez GUI, np. odczyt plików systemowych lub wykonanie poleceń. Podatność została naprawiona w wersji 3.0.82 dla PG5298A i 4.0.82 dla PG5298B.
W systemie Roskus Prospero Flow CRM przed wersją 5.15.13 wykryto podatność nieograniczonego przesyłania plików o niebezpiecznym typie w funkcji przesyłania logo firmy. Uwierzytelniony użytkownik z uprawnieniami do tworzenia i aktualizacji firm może wykonać dowolny kod JavaScript w kontekście aplikacji poprzez przesłanie dokumentu SVG zawierającego osadzony skrypt.
Znaleziono wadę w itsourcecode Online Pharmacy System 1.0. Dotyczy ona funkcji move_uploaded_file w pliku all_users/register.php komponentu User Registration. Manipulacja argumentem photo może prowadzić do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty.
Wykryto podatność w itsourcecode Real Estate Management System 1.0. Dotyczy ona nieznanej funkcjonalności pliku search.php. Manipulacja argumentami search/delivery_type/search_price/property_type prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być użyty.
Parser URI fast-uri dla Node.js nieprawidłowo przetwarza schemat z zakodowanymi procentowo ukośnikami, co pozwala atakującemu na manipulację hostem i obejście list dozwolonych. Podatność dotyczy wersji 2.3.1 do 2.4.4, 3.0.0 do 3.1.5 oraz 4.0.0 do 4.1.2.
Wychodzące żądania HTTP przy użyciu klienta instrumentowanego przez Micrometer mogą powodować warunek DoS z powodu nieograniczonego wycieku pamięci. Podatne wersje to Micrometer 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejsze.
Domyślny renderer bloków kodu w Hugo zapisuje wartości atrybutów pochodzące z ciągu informacyjnego bloku kodu do wygenerowanego HTML bez ich escapowania. Nowy kod w markup/internal/attributes/attributes.go konwertuje każdą wartość atrybutu z bajtów na string, pomijając escapowanie, a funkcja RenderAttributes escapuje tylko wartości, które nadal są bajtami, więc jej gałąź escapowania nigdy nie jest osiągana. Cudzysłów w wartości atrybutu może zakończyć atrybut i umożliwić dodanie kolejnego atrybutu, w tym obsługi zdarzeń, co prowadzi do wykonania skryptu dla każdego odwiedzającego stronę.
Hugo nie sprawdza adresu IP, do którego faktycznie łączy się klient HTTP podczas pobierania zasobów przez resources.GetRemote. Lista dozwolonych security.http.urls sprawdza tylko tekst URL, a nie rzeczywisty adres docelowy, co pozwala na dostęp do wewnętrznych zasobów.
Podatność SQL Injection w Delta DIAEnergie v1.11.00.002 umożliwia atakującemu zdalne wykonanie kodu.
Podatność SQL Injection w Delta DIAEnergie v1.11.00.002 umożliwia atakującemu zdalne wykonanie kodu.
Podatność SQL Injection w Delta DIAEnergie v1.11.00.002 umożliwia atakującemu zdalne wykonanie kodu.
Podatność SQL Injection w Delta DIAEnergie v1.11.00.002 umożliwia atakującemu zdalne wykonanie kodu.