Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2025-26978 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce FS Poster. Problem dotyczy wersji FS Poster od n/a do 6.5.8 włącznie.
W podatności CVE-2025-26976 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Aldo Latino PrivateContent. Problem dotyczy wersji PrivateContent od n/a do 8.11.4 włącznie.
W podatności CVE-2025-26972 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji NotFound PrivateContent. Problem ten dotyczy wersji PrivateContent od n/a do 8.11.5.
W podatności CVE-2025-26969 występuje brak autoryzacji w Aldo Latino PrivateContent, co może prowadzić do nieautoryzowanego dostępu do zasobów. Problem dotyczy wersji PrivateContent od n/a do 8.11.5.
W podatności CVE-2025-26961 w frameworku Fresh Framework występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji od n/a do 1.70.0 włącznie.
Podatność CVE-2025-26921 dotyczy deserializacji niezaufanych danych w wtyczce Booking and Rental Manager dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 2.2.6 włącznie.
W podatności CVE-2025-26886 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce PublishPress Authors. Problem dotyczy wersji od n/a do 4.7.3 włącznie.
W podatności CVE-2025-26556 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki WP AntiDDOS w wersjach od n/a do 2.0 włącznie.
Podatność CVE-2025-26555 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Debug-Bar-Extender. Problem ten dotyczy wersji od n/a do 0.5 włącznie.
Podatność CVE-2025-26554 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Discord Post, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 2.1.0 włącznie.
Podatność CVE-2025-26553 dotyczy wtyczki Pre Order Addon dla WooCommerce – Advance Order/Backorder, która pozwala na ataki typu Cross-site Scripting (XSS) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do 2.2 włącznie.
Podatność CVE-2025-26548 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Random Image Selector, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.4 włącznie.
Podatność CVE-2025-23744 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Random Posts, Mp3 Player + ShareButton w wersjach od n/a do 1.4.1.
tj-actions changed-files przed wersją 46 pozwala zdalnym atakującym na odkrycie sekretów poprzez czytanie logów akcji. Tagi od v1 do v45.0.7 zostały zmodyfikowane przez aktora zagrożenia, aby wskazywały na commit 0e58ed8 zawierający złośliwy kod updateFeatures.
Wtyczka WPSchoolPress dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji wpsp_UpdateTeacher() we wszystkich wersjach do 2.2.16 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie nauczyciela i wyżej aktualizację dowolnych danych użytkowników, w tym adresu e-mail.
Wtyczka Directory Listings WordPress, znana jako uListing, jest podatna na nieautoryzowaną modyfikację danych oraz wstrzykiwanie obiektów PHP z powodu braku weryfikacji uprawnień w akcji AJAX stm_listing_ajax we wszystkich wersjach do 2.2.0 włącznie. Atakujący z poziomem dostępu subskrybenta i wyżej mogą aktualizować metadane postów oraz wstrzykiwać obiekty PHP, które mogą być deserializowane.
Wtyczka Directory Listings WordPress, znana jako wtyczka uListing, jest podatna na eskalację uprawnień we wszystkich wersjach do i włącznie z 2.2.0. Problem wynika z niewystarczających ograniczeń w akcji AJAX stm_listing_profile_edit dotyczących aktualizacji metadanych użytkownika.
Funkcjonalność Automation Scripting w LogicalDOC może być wykorzystana przez atakujących do uruchamiania dowolnych poleceń systemowych na systemie operacyjnym. Do przeprowadzenia ataku wymagane jest konto z uprawnieniami administratora lub z jawnie przyznanym dostępem do Automation Scripting.
W jądrze Linuxa w podsystemie netfilter odkryto podatność związaną z funkcją nf_ct_find_expectation. Domyślnie funkcja ta usuwa oczekiwanie (expectation) z tablicy haszującej, co w niektórych scenariuszach (np. OVS, TC conntrack) jest niepożądane, gdy tworzone połączenie nie zostanie potwierdzone.
Urządzenie wykorzystuje niezaszyfrowany, własnościowy protokół do komunikacji. Przez ten protokół przesyłane są dane konfiguracyjne oraz przeprowadzana jest autoryzacja urządzenia.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS