Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka Chilexpress woo oficjalna w wersjach do 1.2.9 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Wtyczka GrandSlambert Login Configurator w wersjach do 2.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Wtyczka BBS e-Popup w wersjach do 2.4.5 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
W Teplitsa of social technologies wtyczka Leyka w wersjach <= 3.30.1 występuje podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Wtyczka WP-Hijri w wersjach do 1.5.1 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Wtyczka WooCommerce Returns and Warranty Requests w wersjach do 2.1.6 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Wtyczka MailArchiver dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez temat wiadomości w wersjach do 2.10.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
W Qlik Sense Enterprise dla systemu Windows zidentyfikowano podatność typu path traversal, która występuje w wersjach do maja 2023 Patch 3, lutego 2023 Patch 7, listopada 2022 Patch 10 oraz sierpnia 2022 Patch 12. Umożliwia to nieautoryzowanemu zdalnemu atakującemu generowanie anonimowej sesji i przesyłanie żądań HTTP do nieautoryzowanych punktów końcowych.
W systemie Linux Kernel odkryto lukę typu use-after-free w podsystemie zarządzania pamięcią, zlokalizowaną w mm/mempolicy.c. Problem ten wynika z wyścigu między funkcjami mbind() a zablokowanym błędem strony VMA, co może umożliwić lokalnemu atakującemu awarię systemu lub wyciek informacji z jądra.
Podatność CVE-2023-4296 pozwala atakującemu na wstrzyknięcie dowolnego kodu do przeglądarki na docelowym urządzeniu, jeśli uda mu się nakłonić użytkownika administracyjnego PTC Codebeamer do kliknięcia w złośliwy link.
Podatność typu przepełnienie bufora w qdrant w wersji 1.3.2 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez komponent chucnked_vectors.rs.
Wykorzystanie po zwolnieniu pamięci w MediaStream w Google Chrome przed wersją 116.0.5845.140 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
Urządzenia KNX wykorzystujące autoryzację połączenia i obsługujące opcję 1 mogą zostać zablokowane, a użytkownicy nie mogą ich zresetować, aby odzyskać dostęp. Atakujący z dostępem do sieci lub fizycznym dostępem do urządzenia może ustawić klucz BCU, blokując urządzenie.
W Mathjax w wersjach do 2.7.9 zidentyfikowano dwie podatności typu Regular expression Denial of Service (ReDoS) w pliku MathJax.js, związane z wzorcami components i markdownPattern.
Podatność w interfejsie zarządzania siecią ArubaOS-Switch może umożliwić nieautoryzowanemu zdalnemu atakującemu przeprowadzenie ataku typu stored cross-site scripting (XSS) na użytkownika interfejsu, pod warunkiem, że są obecne określone opcje konfiguracyjne. Udany atak może pozwolić na wykonanie dowolnego kodu skryptowego w przeglądarce ofiary w kontekście dotkniętego interfejsu.
Wersje AOMedia od 3.0.0 do 3.5.0 zawierają błąd, który umożliwia nieprawidłowy dostęp do pamięci podczas odczytu poprzez komponent assign_frame_buffer_p w pliku av1/common/av1_common_int.h.
System operacyjny Nokia Service Router (SR OS) w wersji 22.10 oraz SR Linux, gdy nie jest włączona obsługa błędów aktualizacji tolerancji na awarie, niewłaściwie obsługuje atrybuty ścieżki BGP.
MyBB przed wersją 1.8.36 umożliwia wstrzykiwanie kodu przez użytkowników z określonymi wysokimi uprawnieniami. Szablony w Admin CP celowo używają funkcji eval, a walidacja wejścia do eval była niewystarczająca z powodu problemów z rzutowaniem typów przy użyciu PCRE w PHP.
FRRouting FRR w wersjach od 7.5.1 do 9.0 oraz Pica8 PICOS w wersji 4.3.3.2 są podatne na atak typu denial of service. Zdalny atakujący może wykorzystać spreparowaną aktualizację BGP z uszkodzonym atrybutem 23 (Tunelowanie).
Dell PowerScale OneFS w wersjach 8.2.2.x-9.5.0.x zawiera lukę w zarządzaniu uprawnieniami. Zdalny atakujący z niskimi uprawnieniami może wykorzystać tę lukę do eskalacji uprawnień.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS