Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.01)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W repozytorium GitHub fossbilling/fossbilling przed wersją 0.5.1 występuje podatność na wstrzykiwanie kodu.
Platforma XWiki jest ogólną platformą wiki, która oferuje usługi uruchomieniowe dla aplikacji zbudowanych na jej podstawie. Możliwe jest przeprowadzenie ataku XSS poprzez sfałszowanie żądania do akcji usunięcia załącznika z określoną nazwą załącznika.
XWiki Platform zawiera podatność typu XSS, która pozwala użytkownikom na wstrzykiwanie kodu JavaScript poprzez sfałszowane URL-e. Przykładowy URL może wykonać polecenie `alert` w przeglądarce, co może prowadzić do nieautoryzowanego dostępu do danych użytkownika.
Podatność w nadajniku FM Elenos ETG150 w wersji 3.12 wynika z nieprawidłowej kontroli dostępu, umożliwiając dodanie użytkownika z wysokimi uprawnieniami poprzez wykorzystanie roli użytkownika w profilu administratora. Atak może być przeprowadzony przez publiczny internet.
W systemie Linux Kernel odkryto lukę typu use-after-free w funkcji mt7921_check_offload_capability w komponencie mt76/mt7921. Luka ta może umożliwić atakującemu awarię systemu po zwolnieniu pamięci 'features'.
Podatność w nadajniku FM Elenos ETG150 w wersji 3.12 wynika z nieprawidłowej kontroli dostępu, co umożliwia eskalację uprawnień poprzez manipulację rolami użytkowników w profilu. Atak może być przeprowadzony przez publiczny internet.
Luka typu type confusion została naprawiona poprzez ulepszone sprawdzanie. Problem występuje w iOS 16.5.1 i iPadOS 16.5.1, iOS 15.7.7 i iPadOS 15.7.7, macOS Ventura 13.4.1, Safari 16.5.1. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do wykonania dowolnego kodu. Apple wie o raportach o aktywnej eksploatacji tej luki.
Podatność polegająca na uszkodzeniu pamięci, naprawiona poprzez poprawę zarządzania stanem. Przetwarzanie treści internetowych może prowadzić do wykonania dowolnego kodu. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany przeciwko wersjom iOS wydanym przed iOS 15.7.
Podatność polegająca na przepełnieniu liczby całkowitej, naprawiona poprzez poprawę walidacji danych wejściowych. Aplikacja może wykonać dowolny kod z uprawnieniami jądra. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany przeciwko wersjom iOS wydanym przed iOS 15.7.
Podatność naprawiona poprzez poprawę kontroli zakresów. Zdalny atakujący może wydostać się z piaskownicy Web Content. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany.
Podatność use-after-free naprawiona poprzez poprawę zarządzania pamięcią. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do wykonania dowolnego kodu. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany.
XWiki Platform, od wersji 7.3-milestone-1 do wersji 14.4.8, 14.10.6 i 15.1, pozwala na dostęp do obfuskowanych haseł przez REST API, nawet gdy obfuskacja e-maili jest aktywna. Problem został naprawiony w wersjach 14.4.8, 14.10.6 i 15.1.
W platformie XWiki wystąpiła podatność związana z konfiguracją obfuskacji adresów e-mail. W wersjach od 3.5-milestone-1 do 14.4.8, 14.10.4 oraz 15.0-rc-1, odpowiedzi serwera zawierały nieobfuskowane adresy e-mail, co umożliwiało ich odczytanie przez użytkowników.
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
W wersjach LibreDWG od 0.11 do 0.12.5 odkryto przepełnienie bufora na stercie w funkcji bit_write_TF w pliku bits.c.
W wersji 0.12.5 LibreDWG odkryto podatność typu przepełnienie bufora na stercie w funkcji bit_calc_CRC w pliku bits.c.
W wersjach LibreDWG od 0.10 do 0.12.5 odkryto podatność na przepełnienie bufora w stercie w funkcji bit_utf8_to_TU w pliku bits.c.
W wersjach LibreDWG od 0.10 do 0.12.5 odkryto podatność na przepełnienie bufora w stercie w funkcji bit_wcs2nlen w pliku bits.c.
W repozytorium GitHub admidio/admidio przed wersją 4.2.9 występuje niewłaściwa neutralizacja elementów formuły w pliku CSV.
Wtyczka Andy Moyle Church Admin w wersjach do 3.7.29 zawiera podatność na nieautoryzowane odzwierciedlone ataki Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS