Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniu Sagemcom F@ST3686 w wersji oprogramowania 1.0 HUN 3.97.0 wykryto podatność na ataki XSS (Cross-Site Scripting). Luka występuje w kilku skryptach ASP: RgDiagnostics.asp, RgDdns.asp, RgFirewallEL.asp oraz RgVpnL2tpPptp.asp.
Aplikacja Rukovoditel Project Management w wersji 2.6 jest podatna na atak typu Cross Site Scripting (XSS). Atakujący może dodać kod JavaScript do nazwy pliku.
Podatność XSS w Gazie 7.29 umożliwia atakującemu wstrzyknięcie kodu JavaScript poprzez parametr 'user_name' w skrypcie admin_utente.php. Wstrzyknięty kod jest trwale przechowywany przez aplikację.
W sposobie, w jaki przeglądarki Microsoft uzyskują dostęp do obiektów w pamięci, występuje luka umożliwiająca zdalne wykonanie kodu. Luka może uszkodzić pamięć w sposób pozwalający atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika. Atakujący, który pomyślnie wykorzysta lukę, może uzyskać takie same uprawnienia jak bieżący użytkownik.
Zidentyfikowano podatność w rodzinie CPU SIMATIC S7-300, S7-400, WinAC RTX (F) 2010 oraz SINUMERIK 840D sl. Protokół uwierzytelniania między klientem a PLC przez port 102/tcp (ISO-TSAP) niewystarczająco chroni przesyłane hasło.
W systemie Daily Tracker System w wersji 1.0 od SourceCodester wykryto podatność na atak XSS w pliku 'user-profile.php'. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'fullname'.
Specjalnie spreparowany ruch sieciowy może powodować wewnętrzne błędy w urządzeniach WLAN, prowadzące do nieprawidłowego szyfrowania w warstwie 2 Wi-Fi i możliwości ujawnienia informacji dla wybranego zestawu ruchu. Dotyczy to wielu procesorów Snapdragon, m.in. APQ8053, IPQ4019, IPQ8064, MSM8909W, MSM8996AU, QCA9531, QCN5502, QCS405, SDX20, SM6150, SM7150.
Podatność w uprawnieniach do katalogów w Cisco Enterprise NFV Infrastructure Software (NFVIS) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu directory traversal na ograniczony zestaw katalogów. Problem wynika z błędu w logice zarządzania uprawnieniami do katalogów. Udane wykorzystanie może pozwolić na nadpisanie plików na urządzeniu.
Biblioteka libxml2 w wersji 2.9.10 projektu GNOME ma globalną podatność na odczyt poza zakresem bufora (buffer over-read) w funkcji xmlEncodeEntitiesInternal w pliku libxml2/entities.c. Problem został naprawiony w commicie 50f06b3e.
Podatność XSS w Spiceworks w wersji 7.5.00107 i starszych. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez pole nazwy w funkcji grup niestandardowych, który jest następnie wyświetlany bez sanityzacji na stronie /inventory/groups/.
Podatność XSS w osTicket przed wersją 1.14.3 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez spreparowaną nazwę pliku przesyłanego do funkcji _uploadInlineImage() w pliku include/ajax.draft.php.
Podatność XSS w osTicket przed wersją 1.14.3 wynika z braku walidacji danych wejściowych w pliku include/staff/banrule.inc.php, gdzie funkcja echo wyświetla zmienną $info['notes'] bez odpowiedniego oczyszczenia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników.
Występuje podatność na zdalne wykonanie kodu w bibliotece kodeków Microsoft Windows, związana z obsługą obiektów w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może wykonać dowolny kod, pod warunkiem, że program przetworzy specjalnie przygotowany plik graficzny.
Występuje luka umożliwiająca podniesienie uprawnień, gdy atakujący ustanawia podatne połączenie kanału bezpiecznego Netlogon z kontrolerem domeny przy użyciu protokołu Netlogon Remote Protocol (MS-NRPC). Atakujący, który pomyślnie wykorzysta lukę, może uruchomić specjalnie spreparowaną aplikację na urządzeniu w sieci. Aby wykorzystać lukę, nieuwierzytelniony atakujący musi użyć MS-NRPC do połączenia się z kontrolerem domeny w celu uzyskania dostępu administratora domeny.
Podatność w domyślnej konfiguracji FortiOS pozwala nieuwierzytelnionemu atakującemu w tej samej podsieci na przechwycenie wrażliwych informacji przez podszywanie się pod serwer LDAP.
Złośliwa strona internetowa mogła nadpisać wstrzyknięty skrypt WKUserScript używany przez funkcję pobierania, co mogło skutkować pobraniem przez użytkownika niezamierzonego pliku. Podatność dotyczy Firefox for iOS przed wersją 28.
Złośliwa strona internetowa może nadpisać wstrzyknięty WKUserScript używany przez autouzupełnianie logowania, co może doprowadzić do wycieku hasła dla bieżącej domeny. Podatność dotyczy Firefox for iOS < 28.
Sonatype Nexus Repository Manager OSS/Pro w wersjach przed 3.25.1 zawiera podatność typu XSS (problem 2 z 2). Umożliwia to wstrzyknięcie złośliwego skryptu do interfejsu użytkownika.
Sonatype Nexus Repository Manager OSS/Pro w wersjach przed 3.25.1 zawiera podatność typu XSS (problem 1 z 2). Umożliwia to wstrzyknięcie złośliwego skryptu do interfejsu użytkownika.
W Apache ActiveMQ Artemis w wersjach od 2.5.0 do 2.13.0 istnieje podatność na atak XSS, która może być wykorzystana poprzez specjalnie skonstruowany pakiet MQTT zawierający ładunek XSS w nazwie client-id lub tematu. Ładunek XSS jest wstrzykiwany do przeglądarki konsoli administracyjnej.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS