Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.23)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2025-8032 dotyczy błędu w ładowaniu dokumentów XSLT, który nieprawidłowo propagował dokument źródłowy, co pozwalało na obejście polityki CSP. Problem został naprawiony w wersjach Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13 oraz Thunderbird 140.1.
Niewystarczające zabezpieczenie w funkcji 'Kopiuj jako cURL' może być wykorzystane do oszukania użytkownika w celu wykonania nieoczekiwanego kodu. Podatność została naprawiona w wersjach Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13 oraz Thunderbird 140.1.
Thunderbird wykonywał adresy URL `javascript:` używane w tagach `object` i `embed`. Ta podatność została naprawiona w Thunderbirdzie w wersjach 141, 128.13 oraz 140.1.
W systemie AlertEnterprise Guardian 4.1.14.2.2.1 odkryto problem, który pozwala na ominięcie zatwierdzenia menedżera za pomocą parametru isAddedByApprover w wywołaniu API Request%20Building%20Access requestSubmit. W celu zabezpieczenia systemu, należy zaktualizować go do wersji równej lub wyższej od podanych numerów kompilacji.
W systemie AlertEnterprise Guardian 4.1.14.2.2.1 odkryto problem, który pozwala na ominięcie zatwierdzenia menedżera poprzez zmianę identyfikatora użytkownika w wywołaniu API Request%20Building%20Access requestSubmit. W celu zabezpieczenia systemu, zaleca się aktualizację do wersji równej lub wyższej od podanych numerów kompilacji.
Usługa internetowa Ai2 playground (playground.allenai.org) do czatu LLM do 2025-06-03 jest podatna na Insecure Direct Object Reference (IDOR), co pozwala atakującym na uzyskanie wrażliwych informacji poprzez enumerację kluczy wątków w URL.
Wtyczka Orion Login with SMS dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 1.0.5 włącznie. Problem wynika z funkcji olws_handle_verify_phone(), która nie wykorzystuje wystarczająco silnej wartości OTP oraz nie wprowadza ograniczeń co do liczby prób wprowadzenia kodu.
Wtyczka Nginx Cache Purge Preload dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 2.1.1. Problem wynika z niewystarczającej sanitizacji parametru $_SERVER['HTTP_REFERERER'], co umożliwia atakującym z dostępem na poziomie Administratora wykonanie kodu na serwerze.
WRC-BE36QS-B i WRC-W701-B zawierają podatność na wstrzyknięcie poleceń systemowych ('OS Command Injection') w WebGUI, spowodowaną niewłaściwą neutralizacją specjalnych elementów. W przypadku wykorzystania tej luki, zdalny atakujący, który ma dostęp do WebGUI, może wykonać dowolne polecenie systemowe.
W jądrze Linux wykryto wyścig między funkcjami handle_posix_cpu_timers() i posix_cpu_timer_del(). Gdy kończące się zadanie nie jest automatycznie przejmowane, może zostać przejęte przez rodzica po unlock_task_sighand(), co prowadzi do problemów z synchronizacją.
Wtyczka Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w polu 'delete-file' we wszystkich wersjach do 3.2.8 włącznie. Umożliwia to nieautoryzowanym atakującym usunięcie dowolnych plików na serwerze podczas usuwania zgłoszenia przez administratora.
Wtyczka WP JobHunt dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektu we wszystkich wersjach do 7.2 włącznie, przez funkcję cs_remove_profile_callback(). Brak walidacji na kluczu kontrolowanym przez użytkownika umożliwia atakującym z poziomem dostępu Subskrybenta i wyżej usuwanie kont innych użytkowników, w tym administratorów.
W kodzie Public Chat Room 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.
W podatności CVE-2025-7945 odkryto krytyczny błąd w urządzeniach D-Link DIR-513 do daty 20190831. Problem dotyczy funkcji formSetWanDhcpplus w pliku /goform/formSetWanDhcpplus, gdzie manipulacja argumentem curTime prowadzi do przepełnienia bufora.
Serwer Lara Translate MCP, używany w API Lara Translate, zawiera podatność na wstrzykiwanie poleceń w wersjach 0.0.11 i poniżej. Problem wynika z niesanitarnych parametrów wejściowych w wywołaniu child_process.exec, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych.
Cadwyn, który tworzy gotowe do produkcji wersjonowanie API podobne do Stripe w FastAPI, ma w wersjach przed 5.4.3 podatność na atak typu Reflected XSS w parametrze wersji punktu końcowego '/docs'. Atakujący może wykonać kod JavaScript w sesji użytkownika aplikacji opartej na Cadwyn za pomocą ataku jednego kliknięcia.
Podatność typu Insecure Direct Object Reference (IDOR) w Liner do 2025-06-03 umożliwia atakującym uzyskanie wrażliwych informacji poprzez spreparowane parametry space_id, thread_id i message_id w punkcie końcowym v1/space/{space_id}/thread/{thread_id}/message/{message_id}.
Podatność typu Insecure Direct Object Reference (IDOR) w Dippy (chat.dippy.ai) w wersji 2 umożliwia atakującym uzyskanie wrażliwych informacji poprzez parametr conversation_id w punkcie końcowym conversation_history.
W wersjach Jakarta Mail przed 2.0.2 istnieje możliwość przeprowadzenia ataku typu SMTP Injection poprzez wykorzystanie znaków UTF-8 i do oddzielania różnych wiadomości.
W systemie sprzedaży i zarządzania zapasami Campcodes w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /pages/settings_update.php komponentu Setting Handler, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL.