Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność reflected cross-site scripting (XSS) w komponencie /public/launchNewWindow.jsp w Zimbra Collaboration (ZCS) 9.0 pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego skryptu internetowego lub HTML poprzez parametry żądania.
W MISP przed wersją 2.4.158 odkryto problem związany z XSS w pliku app/Controller/OrganisationsController.php, który występuje w sytuacji z 'dziwną stroną z pojedynczym polem wyboru'.
W MISP przed wersją 2.4.158 odkryto problem związany z XSS w widoku cerebrate. Jeśli jeden administrator wprowadzi URL z javascript: w polu URL, a inny administrator na niego kliknie, może to prowadzić do wykonania nieautoryzowanego skryptu.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywaniem XSS w grafie zdarzeń poprzez nazwę tagu.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w klastrach galaktycznych.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w polu logowania LinOTP.
Podatność w produkcie Oracle Agile PLM (komponent: Attachments) w wersji 9.3.6. Atakujący z niskimi uprawnieniami może przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w Oracle Agile PLM. Wskaźnik CVSS 6.5 (wpływ na poufność).
Liferay Portal 7.3.7, 7.4.0 i 7.4.1 oraz Liferay DXP 7.2 fix pack 13 i 7.3 fix pack 2 nieprawidłowo sprawdzają uprawnienia użytkownika podczas dostępu do listy witryn/grup. Umożliwia to zdalnym uwierzytelnionym użytkownikom podgląd witryn/grup za pomocą interfejsu przypisywania członkostwa w witrynie.
Podatność na atak XSS w selektorze kategorii zasobów modułu Asset w Liferay Portal 7.3.3 do 7.4.0 oraz Liferay DXP 7.3 przed Service Pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę kategorii zasobu.
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
W Liferay Portal 7.3.5 do 7.4.0 oraz Liferay DXP 7.3 przed service pack 3 znaleziono podatności na ataki XSS. Atakujący może wstrzyknąć dowolny skrypt lub HTML przez pole pomocy formularza w module Forms lub App Builder.
W Spring Framework w wersjach 5.3.0-5.3.18, 5.2.0-5.2.20 oraz starszych nieobsługiwanych, wzorce dla disallowedFields na DataBinder są wrażliwe na wielkość liter, co oznacza, że pole nie jest skutecznie chronione, chyba że jest wymienione zarówno z wielką, jak i małą literą dla pierwszego znaku pola, w tym wielką i małą literą dla pierwszego znaku wszystkich zagnieżdżonych pól w ścieżce właściwości.
W aplikacji EasyIO CPT Graphics w wersji 0.8 wykryto problem umożliwiający atakującym identyfikację prawidłowych użytkowników systemu. Podatność ta pozwala na enumerację kont bez autoryzacji.
Podatność typu Directory Traversal w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wykorzystać parametr 'page' w pliku index.php do odczytu dowolnych plików na serwerze.
W panelu administracyjnym Exrick XMall wykryto podatność na atak XSS (Cross Site Scripting) w pliku product-add.jsp. Atakujący może wstrzyknąć złośliwy skrypt poprzez parametr GET, co prowadzi do wykonania kodu JavaScript w przeglądarce ofiary.
Urządzenie Dr Trust USA iCheck Connect BP Monitor BP Testing 118 w wersji 1.2.1 jest podatne na przesyłanie żądań zapisu i znaków, co może umożliwić atakującemu manipulację danymi lub funkcjami urządzenia.
W Spring Framework w wersjach 5.3.0 - 5.3.16 oraz starszych nieobsługiwanych wersjach, użytkownik może dostarczyć specjalnie spreparowane wyrażenie SpEL, które może spowodować warunek odmowy usługi.
W oprogramowaniu Chikista Patient Management Software 2.0.2 wykryto podatność na atak typu Cross Site Scripting (XSS) w parametrze first_name. Podatność występuje na stronach: patient/insert, patient_report, appointment_report, visit_report oraz bill_detail_report.
W systemie Online Banking System Protect v1.0 odkryto wiele podatności na ataki typu cross-site scripting (XSS). Podatności te występują w parametrach związanych z profilem użytkownika, informacjami systemowymi oraz zarządzaniem kontami.
W routerze Totolink A3100R w wersji oprogramowania V5.9c.4577 odkryto brak uwierzytelnienia w funkcji API w pliku test.asp. Umożliwia to atakującemu zdalną modyfikację wielu ustawień urządzenia bez podawania jakichkolwiek danych logowania.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS