Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.01)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Brak weryfikacji uprawnień w wtyczce Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Wtyczka Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym połączenie z określonym przez nich adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych w inny sposób, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Wtyczka Jenkins Benchmark Evaluator w wersji 1.0.1 i wcześniejszych zawiera podatność typu CSRF, która umożliwia atakującym łączenie się z określonym przez nich adresem URL oraz sprawdzanie istnienia katalogów oraz plików `.csv` i `.ycsb` w systemie plików kontrolera Jenkins.
Wtyczka Assembla Auth w Jenkinsie w wersji 1.14 i wcześniejszych zawiera podatność typu CSRF, która pozwala atakującym na oszukiwanie użytkowników w celu zalogowania się na konto atakującego.
Wtyczka Sumologic Publisher w Jenkinsie w wersji 2.2.1 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym łączenie się z określonym przez nich adresem URL.
Wtyczka Jenkins Pipeline restFul API w wersji 0.11 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która pozwala atakującym na połączenie z określonym przez nich adresem URL, co umożliwia przechwycenie nowo wygenerowanego tokena JCLI.
Brak weryfikacji uprawnień w wtyczce Jenkins Orka przez MacStadium w wersji 1.33 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Wtyczka Jenkins OpenShift Login w wersji 1.1.0.227.v27e08dfb_1a_20 i wcześniejszych nie unieważnia poprzedniej sesji po zalogowaniu.
Adobe ColdFusion w wersjach 2018u16 (i wcześniejszych), 2021u6 (i wcześniejszych) oraz 2023.0.0.330468 (i wcześniejszych) jest podatny na lukę niewłaściwej kontroli dostępu, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę lukę do uzyskania dostępu do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
Podatność CVE-2023-3600 dotyczy warstwy roboczej, gdzie mogło wystąpić warunki use-after-free, co mogło prowadzić do potencjalnie wykorzystywalnego awarii. Dotyczy to wersji Firefox < 115.0.2, Firefox ESR < 115.0.2 oraz Thunderbird < 115.0.1.
Podatność w produktach komunikacyjnych Rockwell Automation 1756-EN4* Ethernet/IP może umożliwić złośliwemu użytkownikowi spowodowanie odmowy usługi poprzez wysyłanie złośliwie skonstruowanych wiadomości CIP.
W systemie MikroTik Router w wersji 6.46.3 i wcześniejszych wykryto podatność, która pozwala atakującemu na spowodowanie odmowy usługi (DoS) poprzez błędną konfigurację demona SSH.
W podatności CVE-2023-37579 w Apache Pulsar Function Worker występuje nieprawidłowa autoryzacja, która pozwala uwierzytelnionym użytkownikom na dostęp do konfiguracji źródeł i zlewek bez odpowiednich uprawnień. Wiele z tych konfiguracji zawiera dane uwierzytelniające, co może prowadzić do ich wycieku.
W podatności CVE-2023-37197 występuje luka typu SQL Injection, która pozwala uwierzytelnionemu użytkownikowi na dostęp do nieautoryzowanych treści, zmianę lub usunięcie treści oraz wykonywanie nieautoryzowanych działań poprzez manipulację ustawieniami masowej konfiguracji punktów końcowych w DCE.
W podatności CVE-2023-37196 występuje luka typu SQL Injection, która pozwala uwierzytelnionemu użytkownikowi na dostęp do nieautoryzowanych treści, zmianę lub usunięcie treści oraz wykonywanie nieautoryzowanych działań poprzez manipulację ustawieniami powiadomień na DCE.
Wtyczka Getnet Argentina dla Woocommerce w WordPressie jest podatna na obejście autoryzacji z powodu braku walidacji w funkcji 'webhook' w wersjach do 0.0.4 włącznie. Umożliwia to nieautoryzowanym atakującym ustawienie statusu płatności na 'ZATWIERDZONY' bez dokonania płatności.
Wtyczka WP Reroute Email dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez temat wiadomości e-mail w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.
Wtyczka Mail Queue dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez temat wiadomości e-mail w wersjach do 1.1 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.
Wtyczka Lana Email Logger dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez temat wiadomości e-mail w wersjach do i włącznie z Lana Email Logger, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.
Wtyczka Mail Control dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez temat wiadomości w wersjach do 0.2.8 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS