Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.01)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka JetBackup – WP Backup, Migrate & Restore dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.3.9 włącznie. Problem wynika z braku walidacji nonce w funkcji backup_guard_get_import_backup(), co umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer podatnej witryny za pomocą sfałszowanego żądania.
W repozytorium GitHub phpipam/phpipam przed wersją 1.5.2 występuje podatność na atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W WebKit znaleziono podatność, która jest wyzwalana podczas przetwarzania złośliwie spreparowanej treści internetowej i może prowadzić do wykonania dowolnego kodu. Poprawa obsługi pamięci rozwiązuje problemy z uszkodzeniem pamięci.
W routerze ZBT WE1626 wykryto podatność związaną z niebezpiecznymi uprawnieniami, która umożliwia atakującym dostęp do poufnych informacji poprzez interfejs magistrali SPI podłączonej do wyprowadzeń pamięci NAND flash.
Wtyczka Metform Elementor Contact Form Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola tekstowe w formularzach w wersjach do 3.1.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony, czyli strony z przesyłkami.
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
W PHP 8.0.x przed 8.0.28, 8.1.x przed 8.1.16 oraz 8.2.x przed 8.2.3 funkcja password_verify() może akceptować niektóre nieprawidłowe skróty Blowfish jako poprawne. Jeśli taki nieprawidłowy skrót trafi do bazy haseł, może to umożliwić aplikacji uznanie dowolnego hasła dla tego wpisu za prawidłowe.
W systemie zarządzania Liman Central Management System występuje podatność na wstrzyknięcie poleceń z powodu niewłaściwego neutralizowania specjalnych elementów. Dotyczy to wersji od 1.7.0 do przed 1.8.3-462.
Problem type confusion został rozwiązany poprzez ulepszone sprawdzenia. Podatność naprawiono w iOS 15.7.4 i iPadOS 15.7.4, iOS 16.3.1 i iPadOS 16.3.1, macOS Ventura 13.2.1, Safari 16.3. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do wykonania dowolnego kodu. Apple wie o raporcie, że ta podatność mogła być aktywnie wykorzystywana.
Podatność w Razer Central przed wersją 7.8.0.381 umożliwia dowolne usuwanie plików podczas obsługi plików w katalogu Accounts. Atakujący może wykorzystać ten błąd do usunięcia krytycznych plików systemowych.
W MPD przed wersją 0.23.8, używanym w Automotive Grade Linux i innych platformach, wtyczka wyjściowa PipeWire niewłaściwie obsługuje wywołanie Drain w określonych sytuacjach związanych z obciętymi plikami. W rezultacie występuje błąd asercji w libmpdclient z powodu przekazania wskaźnika NULL przez libqtappfw.
W systemie Judging Management System 1.0 wykryto podatność umożliwiającą dowolne przesyłanie plików przez komponent edit_organizer.php. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
Pakiet mono przed wersją 6.8.0.105+dfsg-3.3 dla Debiana umożliwia wykonanie dowolnego kodu, ponieważ typ MIME application/x-ms-dos-executable jest powiązany z interpreterem Mono CLR działającym bez piaskownicy.
Brak uwierzytelnienia dla krytycznej funkcji w repozytorium GitHub kareadita/kavita przed wersją 0.7.0. To może prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji aplikacji.
Wtyczka WP Coder do WordPressa, umożliwiająca dodawanie niestandardowego kodu HTML, CSS i JS, jest podatna na atak typu SQL Injection opartego na czasie poprzez parametr 'id' w wersjach do 2.5.3 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.
Podatność w oprogramowaniu sprzętowym routera Arris TG2482A do wersji 9.1.103GEM9 umożliwia zdalne wykonanie kodu (RCE) poprzez funkcję ping. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad urządzeniem.
Podatność CVE-2023-0882 dotyczy niewłaściwej walidacji danych wejściowych oraz obejścia autoryzacji w aplikacji Kron Tech Single Connect na systemie Windows, co umożliwia nadużycie uprawnień. Problem ten dotyczy wersji Single Connect: 2.16.
Visual Studio zawiera podatność na zdalne wykonanie kodu, która może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście zalogowanego użytkownika.
Podatność zdalnego wykonania kodu w komponencie graficznym systemu Windows. Szczegóły nie są podane w opisie, ale umożliwia ona zdalne wykonanie kodu.
Podatność zdalnego wykonania kodu w Visual Studio. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu w kontekście użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS