Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka Visualizer: Tables and Charts Manager dla WordPressa jest podatna na deserializację nieufnych danych poprzez parametr 'remote_data' w wersjach do 3.7.9 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami co najmniej 'contributor' wywoływanie plików przy użyciu wrappera PHAR, co może prowadzić do wykonania złośliwych działań.
Wtyczka FreeMind WP Browser dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.2 włącznie. Problem wynika z braku ochrony nonce w funkcji FreemindOptions() znajdującej się w pliku ~/freemind-wp-browser.php.
Wtyczka AnyMind Widget dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.1 włącznie. Brak ochrony nonce w funkcji createDOMStructure() w pliku ~/anymind-widget-id.php umożliwia nieautoryzowanym atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka Free Live Chat Support dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.11 włącznie. Brak ochrony nonce w funkcji livesupporti_settings() w pliku ~/livesupporti.php umożliwia nieautoryzowanym atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka DX Share Selection dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.4 włącznie. Brak ochrony nonce w funkcji dxss_admin_page() w pliku ~/dx-share-selection.php umożliwia atakującym wstrzykiwanie złośliwych skryptów na stronę.
Wtyczka Button Widget Smartsoft dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.1 włącznie. Brak walidacji nonce na stronie smartsoftbutton_settings umożliwia nieautoryzowanym atakującym aktualizację ustawień wtyczki oraz wstrzykiwanie złośliwych skryptów webowych poprzez sfałszowane żądanie.
Wtyczka WP All Import jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku wp_all_import_get_gz.php w wersjach do 3.6.7 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyżej przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
AnyDesk 7.0.9 umożliwia lokalnemu użytkownikowi podniesienie uprawnień do SYSTEM poprzez dowiązanie symboliczne. Użytkownik może zapisywać dane w swoim folderze %APPDATA% (używanym dla ad.trace i czatu), ale aplikacja działa jako SYSTEM podczas zapisu danych czatu w tym folderze.
Apache Spark UI umożliwia włączenie list kontroli dostępu (ACL) poprzez opcję konfiguracyjną spark.acls.enable. Jeśli ACL są włączone, ścieżka kodu w HttpSecurityFilter może pozwolić na podszycie się pod dowolną nazwę użytkownika. Złośliwy użytkownik może następnie uzyskać dostęp do funkcji sprawdzania uprawnień, która zbuduje polecenie powłoki Unix na podstawie danych wejściowych i wykona je, co prowadzi do wykonania dowolnego polecenia powłoki jako użytkownik, jako który działa Spark. Dotyczy to Apache Spark w wersjach 3.0.3 i wcześniejszych, 3.1.1 do 3.1.2 oraz 3.2.0 do 3.2.1.
Podatność w ShowMyPC 3606 na Windows umożliwia przejęcie biblioteki DLL. Atakujący może nadpisać plik %temp%\ShowMyPC\-ShowMyPC3606\wodVPN.dll, co spowoduje wykonanie dowolnego złośliwego kodu zawartego w tym pliku.
W systemie Arox School ERP Pro v1.0 wykryto wiele podatności umożliwiających dowolne przesyłanie plików. Luki występują w funkcji dodawania zdjęć w pliku photogalleries.inc.php oraz w funkcji importu arkusza Excel pracowników w pliku 1finance_master.inc.php.
Bufor w demonie httpd na routerach TP-Link TL-WR841N V12 (firmware 3.16.9) umożliwia uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnego kodu poprzez żądanie GET do strony Narzędzia systemowe sieci Wi-Fi. Podatność dotyczy również wersji V11 i V10.
Podatność w Strapi 4.1.12 w funkcji dodawania nowych zasobów pozwala na nieograniczone przesyłanie plików, co umożliwia ataki XSS poprzez spreparowany plik PDF. Projekt dokumentacji sugeruje, że użytkownik z uprawnieniami do przesyłania plików w bibliotece multimediów może przesyłać pliki PDF zawierające JavaScript, a wszystkie pliki w publicznym folderze są dostępne z zewnątrz.
Podatność podniesienia uprawnień w Windows Client Server Run-time Subsystem (CSRSS). Szczegóły podatności nie są podane w opisie.
Z powodu braku weryfikacji uwierzytelnienia, API usługi licencyjnej SAP Business One w wersji 10.0 pozwala nieautoryzowanemu atakującemu na wysyłanie złośliwych żądań HTTP przez sieć. Po pomyślnym wykorzystaniu tej podatności, atakujący może uczynić całą aplikację niedostępną.
W systemie Novastar-VNNOX-iCare Novaicare w wersji 7.16.0 odkryto problem, który umożliwia eskalację uprawnień atakującego. Atakujący mogą uzyskać dostęp do informacji korporacyjnych oraz szczegółów serwera SMTP, usuwać użytkowników, przeglądać role i inne nieokreślone skutki.
Podatność URL injection w Driva inSync 6.9.0 dla macOS umożliwia atakującemu wymuszenie odwiedzenia dowolnego adresu URL poprzez parametr port w aplikacji Electron.
W Druva inSync 6.9.0 dla macOS wykryto podatność na wstrzykiwanie poleceń. Atakujący może zdalnie wykonać dowolne polecenia systemowe poprzez spreparowane żądanie do lokalnego serwera HTTP, wykorzystując brak sanityzacji danych wejściowych przed przekazaniem do biblioteki os.system w Pythonie.
W systemie Druva 6.9.0 dla macOS wykryto problem, który umożliwia atakującym uzyskanie podwyższonych uprawnień lokalnych za pomocą komponentu inSyncDecommission.
W systemie Druva 6.9.0 dla macOS wykryto problem w komponencie inSyncUpgradeDaemon, który umożliwia atakującym lokalne podniesienie uprawnień.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS