Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.23)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W programie Malwarebytes przed wersją 4.6.14.326 i 5.1.5.116 (oraz Nebula 2020-10-21 i późniejsze) odkryto problem związany z odczytem danych poza dozwolonym zakresem w narzędziach wykrywania ciągów, co prowadzi do awarii systemu.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem pname w pliku /admin/operations/packages.php prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W systemie zarządzania podróżami Online Tour and Travel Management System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanego przetwarzania pliku /admin/operations/tax.php, gdzie manipulacja argumentem tname prowadzi do wstrzyknięcia SQL.
Luka nieprawidłowej walidacji danych wejściowych w N-able N-central pozwala na wstrzyknięcie poleceń systemu operacyjnego. Problem dotyczy wersji N-central przed 2025.3.1.
Podatność na deserializację niezaufanych danych w N-able N-central umożliwia lokalne wykonanie kodu. Problem dotyczy wersji przed 2025.3.1.
Zidentyfikowano podatność w module Mendix SAML, która dotyczy wersji poniżej V4.0.3 dla Mendix 10.12, poniżej V4.1.2 dla Mendix 10.21 oraz poniżej V3.6.21 dla Mendix 9.24. Problem polega na niewystarczającym egzekwowaniu walidacji podpisu i kontroli powiązań.
Router KuWFi 4G LTE AC900 w wersji 1.0.13 jest podatny na atak typu Cross-Site Request Forgery (CSRF) w swoim interfejsie zarządzania webowego. Ta podatność umożliwia atakującemu oszukanie uwierzytelnionego użytkownika admina do wykonania nieautoryzowanych działań, w tym wykorzystania podatności na wstrzykiwanie poleceń.
Router LTE KuWFi 4G AC900 w wersji 1.0.13 jest podatny na wstrzykiwanie poleceń w punktach końcowych API HTTP /goform/formMultiApnSetting oraz /goform/atCmd. Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe z uprawnieniami roota za pomocą metaznaków powłoki w parametrach takich jak pincode i cmds.
W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 odkryto podatność. Problem dotyczy nieznanej funkcjonalności pliku /admin/save_airlines.php, gdzie manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
W systemie zarządzania rezerwacjami lotów Campcodes Online Flight Booking Management System w wersji 1.0 zidentyfikowano podatność. Manipulacja argumentem departure_airport_id w pliku /flights.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.
Podatność CVE-2025-54701 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w ThemeMove Unicamp w wersjach od n/a do 2.6.3.
Podatność CVE-2025-54700 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wtyczce Makeaholic w wersjach od n/a do 1.8.4.
W podatności CVE-2025-54697 występuje nieprawidłowe przypisanie uprawnień w wtyczce StellarWP Kadence WooCommerce Email Designer, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 1.5.16 włącznie.
Wtyczka Membership For WooCommerce zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji wtyczki od n/a do 2.9.0 włącznie.
W podatności CVE-2025-54690 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Xinterio od n/a do 4.2.
W podatności CVE-2025-54689 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem ten dotyczy wersji Urna od n/a do 2.5.7 włącznie.
W produkcie Neon Channel Product Customizer Free występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.0 włącznie.
Podatność CVE-2025-52823 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce Cube Portfolio w wersjach od n/a do 1.16.8. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.
Wtyczka infosoftplugin WooCommerce Point Of Sale (POS) zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WooCommerce Point Of Sale (POS) od n/a do 1.4 włącznie.
W podatności CVE-2025-52806 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki JobSearch w wersjach od n/a do poniżej 3.0.8.