Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartość opcji `of` w metodzie `.position()` pochodzi z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie każda wartość przekazana do opcji `of` jest traktowana jako selektor CSS.
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartości różnych opcji `*Text` widżetu Datepicker pochodzą z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie wartości przekazywane do opcji `*Text` są zawsze traktowane jako czysty tekst, a nie HTML.
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartość opcji `altField` widżetu Datepicker pochodzi z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie każda wartość przekazana do opcji `altField` jest traktowana jako selektor CSS.
W produkcie Oracle PeopleSoft Enterprise CS Campus Community (komponent Notification Framework) w wersjach 9.0 i 9.2 istnieje podatność. Niskouprzywilejowany atakujący z dostępem do fizycznego segmentu komunikacji może uzyskać nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych.
W PHPMyWind 5.6 odkryto podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia atakującym utworzenie nowego konta administratora bez uwierzytelnienia.
rConfig 3.9.6 zawiera podatność na lokalne ujawnienie plików. Uwierzytelniony użytkownik może pobrać dowolny plik z serwera.
Nieodpowiednia implementacja w module Memory w Google Chrome przed wersją 94.0.4606.71 pozwalała zdalnemu atakującemu na uzyskanie potencjalnie wrażliwych informacji z pamięci procesu za pomocą spreparowanej strony HTML.
Podatność XSS w Afian FileRun 2021.03.26 umożliwia atakującemu wstrzyknięcie złośliwego skryptu, gdy administrator używa edytora HTML do podglądu lub edycji spreparowanego dokumentu.
Podatność SSRF w NagiosXI do wersji 5.8.4 pozwala uwierzytelnionemu użytkownikowi na tworzenie raportów z PDF-ami dowolnego widoku. Brak sanityzacji wejścia umożliwia podmianę strony docelowej na złośliwy ładunek SSRF.
W Afian FileRun 2021.03.26 odkryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez nagłówek HTTP X-Forwarded-For, który jest nieprawidłowo przetwarzany podczas renderowania dzienników aktywności.
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
W curl od wersji 7.20.0 do 7.78.0, podczas połączenia z serwerem IMAP lub POP3 przy użyciu STARTTLS, serwer może wysłać wiele odpowiedzi naraz, które curl buforuje. Po uaktualnieniu do TLS curl nadal ufa tym odpowiedziom, co pozwala atakującemu typu Man-In-The-Middle na wstrzyknięcie fałszywych odpowiedzi i oszukanie curl, by wysyłał dane do użytkownika, myśląc, że pochodzą z bezpiecznego serwera.
W Progress WhatsUp Gold przed wersją 21.1.0 punkt końcowy aplikacji nie filtrował odpowiednio złośliwych danych wejściowych, co mogło pozwolić nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu w przeglądarce ofiary.
Nieprawidłowa neutralizacja specjalnych elementów w interfejsie zarządzania SMA100 pozwala zdalnemu uwierzytelnionemu atakującemu na wstrzyknięcie dowolnych poleceń jako użytkownik 'nobody', co potencjalnie prowadzi do ataku typu DoS.
Rhttproxy używany w vCenter Server zawiera podatność wynikającą z nieprawidłowej implementacji normalizacji URI. Złośliwy aktor z dostępem sieciowym do portu 443 na vCenter Server może wykorzystać ten problem do obejścia proxy, co prowadzi do dostępu do wewnętrznych punktów końcowych.
W Kubernetes odkryto problem bezpieczeństwa, który pozwala aktorom kontrolującym odpowiedzi na żądania MutatingWebhookConfiguration lub ValidatingWebhookConfiguration na przekierowanie żądań kube-apiserver do prywatnych sieci apiservera. Użytkownik, który ma dostęp do logów kube-apiserver przy poziomie logowania ustawionym na 10, może zobaczyć przekierowane odpowiedzi i nagłówki w logach.
W International Components for Unicode (ICU-20850) w wersji 66.1 odkryto błąd użycia po zwolnieniu (use after free) w funkcji pkg_createWithAssemblyCode w pliku tools/pkgdata/pkgdata.cpp.
Podatność ujawniania informacji w aplikacji Microsoft Accessibility Insights for Android. Może pozwolić atakującemu na uzyskanie dostępu do poufnych danych.
Podatność na cross-site scripting (XSS) w Microsoft Dynamics Business Central. Umożliwia wstrzyknięcie złośliwego skryptu do aplikacji.
Podatność na manipulację (tampering) w przeglądarce Microsoft Edge (opartej na Chromium). Może pozwolić na modyfikację danych lub zachowania przeglądarki.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS