Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W M-Files Web Companion przed wersją 23.10 oraz przed wersjami LTS Service Release przed 23.8 LTS SR1 występuje niewystarczające blokowanie, co umożliwia zdalne wykonanie kodu poprzez określone typy plików.
W M-Files Web Companion przed wersją 23.10 oraz przed wersjami LTS Service Release 23.8 LTS SR1 występuje luka, która umożliwia zdalne wykonanie kodu poprzez wykonanie pobranego zawartości.
Wtyczka Slimstat Analytics dla WordPressa jest podatna na atak typu SQL Injection poprzez shortcode w wersjach do 5.0.9 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
Wtyczka Essential Blocks dla WordPressa jest podatna na wstrzykiwanie obiektów PHP w wersjach do 4.2.0 włącznie, poprzez deserializację nieufnych danych wejściowych w funkcji get_products. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektu PHP.
W M-Files Classic Web przed wersją 23.10 oraz przed wersjami LTS Service Release 23.2 LTS SR4 i 23.8 LTS SR1 występuje podatność na XSS typu stored. Umożliwia ona atakującemu wykonanie skryptu w przeglądarce użytkownika za pomocą przechowywanego dokumentu HTML.
Wtyczka WP Cerber Security dla WordPressa jest podatna na przechowywane ataki typu cross-site scripting (XSS) poprzez parametr log podczas logowania do serwisu w wersjach do 9.1 włącznie. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane za każdym razem, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Wtyczka CleanTalk do WordPressa, odpowiedzialna za skanowanie bezpieczeństwa i złośliwego oprogramowania, jest podatna na nieautoryzowaną interakcję użytkownika w wersjach do 2.50 włącznie. Brak odpowiednich kontroli uprawnień w kilku akcjach AJAX oraz ujawnienie nonce w źródle strony panelu administracyjnego umożliwia atakującym z uprawnieniami subskrybenta i wyżej wywoływanie funkcji oraz usuwanie i/lub przesyłanie plików.
Wtyczka iPanorama 360 – WordPress Virtual Tour Builder jest podatna na atak typu SQL Injection w wersjach do 1.8.0 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie co najmniej 'contributor' dodawanie dodatkowych zapytań SQL do już istniejących.
Proself Enterprise/Standard Edition Ver5.62 i wcześniejsze, Proself Gateway Edition Ver1.65 i wcześniejsze oraz Proself Mail Sanitize Edition Ver1.08 i wcześniejsze pozwalają zdalnemu nieuwierzytelnionemu atakującemu na przeprowadzenie ataków XML External Entity (XXE). Poprzez przetwarzanie specjalnie spreparowanego żądania zawierającego nieprawidłowe dane XML, atakujący może odczytać dowolne pliki na serwerze zawierające informacje o kontach.
Wtyczka MpOperationLogs dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nagłówki IP w wersjach do 1.0.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Jądro Linuxa przed wersją 6.5.4 zawiera podatność typu use-after-free w pliku fs/ext4/extents_status.c, związaną z funkcją ext4_es_insert_extent.
W repozytorium GitHub vim/vim przed wersją 9.0.2010 występuje podatność typu Use After Free. Może to prowadzić do nieprzewidzianego zachowania aplikacji oraz potencjalnego wycieku danych.
Podatność w Microsoft Office pozwala na podniesienie uprawnień poprzez manipulację grafiką. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
Podatność CVE-2023-36419 dotyczy usługi Azure HDInsight, w szczególności harmonogramu zadań Apache Oozie, który jest narażony na atak XXE (XML External Entity). Atakujący może wykorzystać tę lukę do podniesienia uprawnień w systemie.
W Macrium Reflect 8.1.7544 i wcześniejszych wersjach występuje przepełnienie bufora, które może zostać wykorzystane przez atakującego do eskalacji uprawnień lub wykonania dowolnego kodu.
Protokół HTTP/2 umożliwia atak typu denial of service (zużycie zasobów serwera) z powodu możliwości szybkiego resetowania wielu strumieni poprzez anulowanie żądań. Atak ten był wykorzystywany w praktyce od sierpnia do października 2023 roku.
Mbed TLS w wersjach 2.x przed 2.28.5 oraz 3.x przed 3.5.0 zawiera podatność typu Buffer Overflow. Może to prowadzić do nieautoryzowanego dostępu do pamięci i potencjalnego wykonania złośliwego kodu.
Podatność CVE-2023-44209 dotyczy lokalnego podwyższania uprawnień z powodu niewłaściwego zarządzania miękkimi linkami. Affected są produkty Acronis Cyber Protect Cloud Agent (Linux, macOS, Windows) przed wersją 29051 oraz Acronis Cyber Protect 17 (Linux, macOS, Windows) przed wersją 41186.
Podatność w systemach iOS i iPadOS została naprawiona poprzez ulepszone mechanizmy sprawdzania. Luka pozwala lokalnemu atakującemu na podniesienie uprawnień. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 16.6.
Podatność w routerach Milesight UR5X, UR32L, UR32, UR35 i UR41 przed wersją 35.3.0.7 umożliwia nieautoryzowany dostęp do wrażliwych komponentów urządzenia. Atakujący może wykorzystać ten błąd do ujawnienia poufnych informacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS