Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność Server-Side Request Forgery (SSRF) w WGDashboard w wersji 4.2.3 i wcześniejszych. Funkcjonalność webhooka umożliwia uwierzytelnionym atakującym wykonywanie dowolnych żądań HTTP i odbieranie odpowiedzi.
Wtyczka Premium SEO do WordPressa jest złośliwa: zawiera nieuwierzytelnione backdoory, które tworzą ukryte konto administratora, a w niektórych wersjach umożliwiają zdalne wykonanie kodu, fałszowanie żądań po stronie serwera oraz wstrzykiwanie dowolnych skryptów i treści na froncie. Daje to nieuwierzytelnionemu atakującemu pełną kontrolę nad zainfekowaną witryną.
Oficjalny kanał dystrybucji aktualizacji MonsterInsights Pro (monster-insights.s3.amazonaws.com) został skompromitowany. Zarówno bieżąca wersja (10.2.2), jak i wersja, do której MonsterInsights się wycofał (10.2.0), zawierają złośliwy plik class-system-check.php. Zaobserwowano trzy różne warianty, wszystkie z tym samym kluczem AES-256-GCM, co potwierdza jednego aktora zagrożenia. Atakujący zachowuje dostęp do zapisu w zasobniku S3 i aktywnie modyfikował ładunek przez cały dzień.
W środowiskach wielodostępnych interfejsy API REST wydawcy nie egzekwują prawidłowo izolacji dzierżawców. Umożliwia to użytkownikowi w jednej dzierżawie, posiadającemu wystarczające uprawnienia do wywoływania tych interfejsów, wykonywanie operacji wpływających na innych dzierżawców. Podatność pozwala uprzywilejowanemu użytkownikowi wykonywać operacje wydawcy, takie jak ujawnianie lub modyfikowanie metadanych API w środowisku innej dzierżawy. Wpływ ten występuje tylko we wdrożeniach wielodostępnych.
Dell Virtual Storage Integrator dla VMware vSphere Client w wersjach przed 10.11.1.0 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w komponencie IAPI. Zdalny nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych z uprawnieniami roota na systemie operacyjnym aplikacji. Eksploatacja może prowadzić do całkowitego przejęcia systemu przez atakującego.
Wtyczka CTX Feed w wersjach do 6.6.42 zawiera podatność na zdalne wykonanie kodu (RCE) przez menedżera sklepu. Atakujący z uprawnieniami menedżera sklepu może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze.
Wtyczka Type Hub w wersjach do 2.0.6 zawiera podatność na nieuwierzytelnione przesyłanie dowolnych plików. Zdalny atakujący bez uwierzytelnienia może przesłać złośliwe pliki na serwer.
Wtyczka Frontend Admin by DynamiApps w wersjach do 3.29.10 zawiera podatność na nieuwierzytelnioną eskalację uprawnień. Zdalny atakujący bez uwierzytelnienia może podnieść swoje uprawnienia w systemie.
Wtyczka WordPress File Upload w wersjach do 5.1.7 zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL. Zdalny atakujący bez uwierzytelnienia może wykonywać złośliwe zapytania SQL do bazy danych.
Wtyczka AI ANN w wersjach do 1.29.0 zawiera podatność na nieuwierzytelnione wstrzykiwanie obiektów PHP. Zdalny atakujący bez uwierzytelnienia może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu.
Wtyczka Agricola w wersjach do 1.21.0 zawiera podatność na nieuwierzytelnione wstrzykiwanie obiektów PHP. Zdalny atakujący bez uwierzytelnienia może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu.
Wtyczka Agora w wersjach do 1.9 zawiera podatność na nieuwierzytelnione wstrzykiwanie obiektów PHP. Zdalny atakujący bez uwierzytelnienia może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu.
Wtyczka Advice w wersjach do 1.18.0 zawiera podatność na nieuwierzytelnione wstrzykiwanie obiektów PHP. Zdalny atakujący bez uwierzytelnienia może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu.
Wtyczka Adrena w wersjach do 1.2.14 zawiera podatność na nieuwierzytelnione wstrzykiwanie obiektów PHP. Zdalny atakujący bez uwierzytelnienia może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce Accalia w wersjach do 1.5.3.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce Abogado w wersjach do 1.18.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce Abelle w wersjach do 1.22.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce A.Williams w wersjach do 1.3.1.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce 69 Clothing w wersjach do 1.2.11.1.
Nieuwierzytelniona iniekcja obiektów PHP w wtyczce WPBruiser (no-Captcha anti-Spam) w wersjach do 3.1.43.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS