Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Szczegóły podatności oraz instrukcje łagodzenia są obecnie ograniczone i zostaną opublikowane w późniejszym terminie.
W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.
OpenClaw Dashboard zawiera podatność na trwałe XSS, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript w sesji administratora poprzez wstrzyknięcie kodu HTML do wiadomości agenta przetwarzanych przez API sesji.
Wiele modeli routerów TR, WR i WR (m.in. TR1200, TR3000, WR300) zawiera podatność na wstrzykiwanie poleceń w interfejsie net.set_wan. Atakujący może wykonać dowolne polecenia jako root przez spreparowane wejście.
LazyOwn RedTeam/APT Framework zawiera domyślne poświadczenia C2 (LazyOwn/LazyOwn) w plikach konfiguracyjnych, które są używane do uwierzytelniania HTTP Basic, co pozwala każdemu atakującemu w sieci na dostęp do panelu C2 z uprawnieniami operatora.
LazyOwn RedTeam/APT Framework zawiera nieuwierzytelniony handler zdarzeń Socket.IO, który przekazuje dane wejściowe do funkcji wykonującej polecenia systemowe, co pozwala na zdalne wykonanie kodu bez uwierzytelnienia.
Nieprawidłowa kontrola dostępu w Azure Cosmos DB umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu.
OpenClaw Dashboard v3.0.0 zawiera podatność na trwałe XSS, która pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnego kodu HTML i JavaScript poprzez wysłanie spreparowanej nazwy użytkownika w żądaniu POST logowania, która jest zapisywana w dzienniku audytu i renderowana bez sanityzacji w panelu powiadomień administratora.
Outstatic CMS w wersji 2.1.9 i starszych zawiera zakodowany na stałe sekret podpisywania JWT. Gdy zmienna środowiskowa OST_TOKEN_SECRET nie jest ustawiona, aplikacja używa domyślnego sekretu widocznego publicznie w repozytorium kodu źródłowego.
Podatność w dnsmgr w wersji 2.15 i wcześniejszych umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję ping w pliku CheckUils.php.
SourceCodester Tailor Management System 1.0 jest podatny na iniekcję SQL w pliku customeredit.php?id=1.
SourceCodester Tailor Management System 1.0 jest podatny na iniekcję SQL w pliku addmeasurement.php?id=1.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku renew.php poprzez parametr membershipType.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w endpointcie edit_type.php poprzez parametr id.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /edit_member.php?id=1.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w plikach report.php i revenue_report.php poprzez parametr fromDate.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_members.php?id=1.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /memberProfile.php?id=1.
CodeAstro Membership Management System 1.0 jest podatny na iniekcję SQL w pliku /delete_membership.php?id=1.
CodeAstro Membership Management System 1.0 zawiera podatność na wstrzykiwanie SQL w pliku /print_membership_card.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS