Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.01)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie zarządzania Tailor w wersji 1 zidentyfikowano podatność na atak typu SQL injection, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr customer w pliku orderadd.php.
Wtyczka Limit Login Attempts dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez funkcję logowania zablokowanych prób w wersjach do 1.7.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy administrator uzyska dostęp do strony ustawień wtyczki.
W systemie zarządzania Tailor w wersji 1 zidentyfikowano podatność na wstrzykiwanie SQL, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr tytułu.
Wtyczka WCFM Membership dla WordPressa jest podatna na nieautoryzowaną modyfikację i dostęp do danych w wersjach do 2.10.0 włącznie, z powodu braku odpowiednich kontroli uprawnień w różnych akcjach AJAX. Umożliwia to nieautoryzowanym atakującym wykonywanie różnych działań, takich jak modyfikacja szczegółów członkostwa czy kontrola zatwierdzeń członkostwa.
Wtyczka WCFM Marketplace dla WordPressa jest podatna na nieautoryzowaną modyfikację i dostęp do danych w wersjach do 3.4.11 włącznie, z powodu braku odpowiednich kontroli uprawnień w różnych akcjach AJAX. Umożliwia to uwierzytelnionym atakującym, posiadającym minimalne uprawnienia, takie jak subskrybenci, wykonywanie różnych działań, w tym modyfikację szczegółów metod wysyłki, modyfikację produktów, usuwanie dowolnych postów oraz eskalację uprawnień.
Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, zawiera ograniczenia bezpieczeństwa wykorzystujące niekanoniczne adresy URL, które mogą zostać obejści. Błąd pozwala na ominięcie tych ograniczeń.
Hitachi Vantara Pentaho Business Analytics Server w wersjach przed 9.4.0.1 i 9.3.0.2, w tym 8.3.x, pozwala niektórym usługom internetowym na ustawianie wartości właściwości zawierających szablony Spring, które są interpretowane w dalszym przetwarzaniu. Może to prowadzić do wstrzyknięcia szablonów po stronie serwera.
Podatność SSRF w forem do wersji v2022.11.11 umożliwia atakującemu wysłanie spreparowanego żądania POST do endpointu /articles/{id}, co pozwala na dostęp do zasobów sieciowych i poufnych informacji.
W Appwrite do wersji 1.2.1 wykryto podatność na fałszerstwo żądań po stronie serwera (SSRF) w komponencie /v1/avatars/favicon. Umożliwia ona atakującym dostęp do zasobów sieciowych i poufnych informacji poprzez spreparowane żądanie GET.
W curl w wersjach poniżej 8.0 występuje podatność związana z walidacją danych wejściowych podczas komunikacji za pomocą protokołu TELNET. Atakujący może przesłać złośliwie skonstruowaną nazwę użytkownika oraz 'opcje telnet' podczas negocjacji z serwerem.
Podatność CVE-2023-1014 dotyczy niewłaściwej ochrony dla wychodzących komunikatów o błędach i sygnałów alarmowych w systemie Vira-Investing, co umożliwia przeprowadzenie ataku typu Account Footprinting. Problem ten dotyczy wersji Vira-Investing przed 1.0.84.86.
W systemie plików NFS w jądrze Linux zidentyfikowano lukę typu use-after-free w funkcji nfsd4_ssc_setup_dul. Luka ta może umożliwić lokalnemu atakującemu awarię systemu lub prowadzić do wycieku informacji z jądra.
Wtyczka GMAce dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.5.2 włącznie. Problem wynika z braku walidacji nonce w funkcji gmace_manager_server wywoływanej przez akcję AJAX wp_ajax_gmace_manager.
Problem z podniesieniem uprawnień w instalatorze M-Files w wersjach przed 22.6 na systemie Windows umożliwia użytkownikowi uzyskanie uprawnień SYSTEM poprzez atak DLL hijacking.
Podatność Local File Inclusion (LFI) w Stimulsoft Designer (Web) 2023.1.3 umożliwia atakującemu odczyt dowolnych plików z serwera. Luka wynika z nieprawidłowej walidacji ścieżek plików w aplikacji.
Stimulsoft Designer (Web) 2023.1.3 jest podatny na SSRF. Serwer wykonuje żądania do zewnętrznych źródeł danych, co może być wykorzystane do wycieku danych z wewnętrznej sieci.
W funkcji brcmf_get_assoc_ies w pliku drivers/net/wireless/broadcom/brcm80211/brcmfmac/cfg80211.c jądra Linux wykryto problem odczytu poza granicami bufora (slab-out-of-bounds). Do zdarzenia może dojść, gdy dane assoc_info->req_len są większe niż rozmiar bufora zdefiniowany jako WL_EXTRA_BUF_MAX, co prowadzi do odmowy usługi.
Podatność w komponencie bridge2 systemu MikroTik RouterOS w wersji 6.40.5 umożliwia atakującym przeprowadzenie ataku typu Denial of Service (DoS) poprzez wysłanie spreparowanych pakietów.
W komponencie WorkSource systemu Android występuje możliwość niezgodności parceli (parcel mismatch). Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych. Do wykorzystania nie jest wymagana interakcja użytkownika.
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS