Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.31)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Jet Admin umożliwia uwierzytelnionemu atakującemu wstrzyknięcie JavaScriptu przez opcję skryptów i stylów na stronie logowania. Wstrzyknięty skrypt jest wykonywany w kontekście domeny każdego odwiedzającego użytkownika.
Jet Admin pozwala atakującemu na utworzenie złośliwej aplikacji, podłączenie jej do domeny niestandardowej ofiary, edycję konfiguracji uwierzytelniania i przekierowanie ruchu do kontrolowanej przez atakującego aplikacji. Jeśli ofiara używa dostawcy OAuth, atakujący uzyskuje jej Client ID i Client Secret.
Platforma Brushfire w aplikacji do strumieniowania wideo (https://online.brushfire.com) ujawnia ścieżkę bazy danych w żądaniach do użytkowników, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na odczyt informacji o innych użytkownikach. Naprawiono w lutym 2026.
Podatność typu Server-Side Request Forgery (SSRF) w Azure SQL Database pozwala nieautoryzowanemu atakującemu na podniesienie uprawnień w sieci.
mod_auth_openidc przed wersją 2.4.19.4 zawiera podatność odczytu poza zakresem i zapisu jednego bajtu poza zakresem w parserze ciasteczek stanu. Problem został naprawiony w wersji 2.4.19.4.
ONNX przed wersją 1.21.0 zawiera podatność w funkcji 'save_external_data', która buduje ścieżkę pliku danych zewnętrznych i otwiera go do zapisu bez zabezpieczeń O_NOFOLLOW/O_EXCL, po nieatomowym sprawdzeniu 'os.path.isfile()'. Lokalny atakujący może podmienić plik na dowiązanie symboliczne, co pozwala na dopisanie danych do dowolnego pliku, do którego ofiara ma prawo zapisu.
OpenViking przed wersją 0.3.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym o niskich uprawnieniach na dostęp do wewnętrznych usług sieciowych poprzez wysyłanie dowolnych adresów URL do punktu końcowego API zasobów.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
Ten identyfikator CVE został odrzucony lub wycofany przez organ nadający numer CVE.
to_abs_path w scripts/iib/tool.py normalizuje ścieżkę za pomocą os.path.normpath, co nie rozwiązuje dowiązań symbolicznych. Dowiązanie symboliczne umieszczone w skanowanym katalogu może wskazywać na plik poza katalogiem, a FileResponse podąża za dowiązaniem, co pozwala na ujawnienie plików takich jak /etc/passwd.
is_path_trusted w scripts/iib/api.py porównuje żądaną ścieżkę z dozwolonymi katalogami za pomocą path.startswith(parent_path), bez dodawania separatora ścieżki. Katalog, którego nazwa zaczyna się od dozwolonej ścieżki, spełnia porównanie, co pozwala na dostęp do plików poza dozwolonym katalogiem.
Drony DJI przesyłają wiadomości protokołu DUML przez Bluetooth Low Energy (BLE) bez szyfrowania. Podczas łączenia klienta z dronem przez Wi-Fi lub w trybie QuickTransfer, aplikacja DJI Fly wymienia przez BLE dane uwierzytelniające Wi-Fi, w tym PSK, SSID i identyfikator UUID. Atakujący w zasięgu BLE może biernie przechwycić ten ruch i odzyskać poświadczenia w postaci jawnego tekstu.