Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu za pomocą funkcji strony głównej.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry kategorii kursu do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez parametry sekwencjonowania zasobów.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry skype i linedin_url do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr koła umiejętności (skills wheel) do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametr tytułu forum do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w parametrze ogłoszeń systemowych. Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
W bibliotece Libtiff w wersji 4.0.7 odkryto podatność na przepełnienie bufora. Lokalny atakujący może wykorzystać funkcję tiffcp w pliku tiffcp.c, aby spowodować odmowę usługi (DoS).
W SIMATIC Cloud Connect 7 CC712 (wersje >= V2.0 < V2.1) i CC716 (wersje >= V2.0 < V2.1) punkt końcowy eksportu ujawnia nieudokumentowane pliki. Może to pozwolić nieuwierzytelnionemu zdalnemu atakującemu na dostęp do dodatkowych zasobów informacyjnych.
Endpoint eksportu w SIMATIC Cloud Connect 7 jest dostępny przez REST API bez uwierzytelniania. Nieuwierzytelniony zdalny atakujący może pobrać pliki dostępne poprzez ten endpoint.
Urządzenia SIMATIC Cloud Connect 7 (CC712 i CC716) w wersjach przed V2.1 są podatne na atak typu denial of service podczas przetwarzania losowego, niebędącego JSON ładunku MQTT. Atakujący, który może manipulować komunikacją między brokerem MQTT a urządzeniem, może wywołać awarię i niedostępność usługi.
Podatność w SIMATIC Cloud Connect 7 CC712 (wersje >= V2.0 < V2.1) i CC716 (wersje >= V2.0 < V2.1) polega na podatności typu path traversal w funkcji przesyłania plików w interfejsie webowym. Uwierzytelniony uprzywilejowany zdalny atakujący może nadpisać lub pobrać dowolny plik, do którego użytkownik systemu Linux 'ccuser' ma odpowiednio prawo zapisu lub odczytu.
SAP CRM (WebClient UI) w wersjach S4FND 102-107 oraz WEBCUIF 700-801 nie koduje wystarczająco danych wejściowych kontrolowanych przez użytkownika, co prowadzi do podatności Stored Cross-Site Scripting (XSS). Atakujący może zapisać złośliwy URL i nakłonić ofiarę do kliknięcia, powodując wykonanie skryptu w sesji ofiary.
Platforma SAP BusinessObjects Business Intelligence w wersjach 420 i 430 nie waliduje wystarczająco danych wejściowych, co pozwala nieuwierzytelnionemu atakującemu przekierować użytkownika na niezaufaną stronę za pomocą złośliwego linku. Udane wykorzystanie może umożliwić atakującemu przeglądanie lub modyfikowanie informacji, powodując ograniczony wpływ na poufność i integralność aplikacji.
Wskaźniki jądra są drukowane w pliku dziennika przed wydaniem SMR May-2023 Release 1, co pozwala uprzywilejowanemu lokalnemu atakującemu obejść ASLR. Podatność dotyczy urządzeń z systemem Android.
Wtyczka WordPress Category Specific RSS feed Subscription (autorstwa Tips and Tricks HQ, Ruhul Amin) w wersjach do 2.1 włącznie zawiera podatność typu Cross-Site Request Forgery (CSRF). Brak odpowiednich zabezpieczeń może pozwolić atakującemu na wymuszenie na zalogowanym administratorze wykonania niepożądanych akcji.
W Google Chrome przed wersją 113.0.5672.63 występuje nieprawidłowa implementacja funkcji PictureInPicture, co pozwala zdalnemu atakującemu, który przejął proces renderowania, zaciemnić interfejs bezpieczeństwa za pomocą spreparowanej strony HTML. Chromium ocenia ważność jako niską.
W Google Chrome przed wersją 113.0.5672.63 występuje nieprawidłowa implementacja mechanizmu Promptów, co pozwala zdalnemu atakującemu zaciemnić główne dane pochodzenia (main origin) za pomocą spreparowanej strony HTML. Chromium ocenia ważność jako średnią.
Podatność polegająca na użyciu wskaźnika poza zakresem w repozytorium GitHub vim/vim przed wersją 9.0.1499.
W Intermesh BV Group-Office w wersji 6.6.145 wykryto odbiciowe podatność na ataki typu Cross Site Scripting (XSS). Atakujący może wykorzystać ciasteczko GO_LANGUAGE do eskalacji uprawnień i uzyskania wrażliwych informacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS