Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Brak autoryzacji w widokach tworzenia i usuwania OcrModelRight w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na przyznanie sobie dostępu do prywatnego modelu OCR innego użytkownika oraz na odebranie dostępu do modelu OCR dowolnemu użytkownikowi za pomocą żądania POST, ponieważ sprawdzenie własności jest umieszczone w get_context_data() i dlatego wykonuje się tylko na ścieżce renderowania GET.
Obejście autoryzacji w punktach końcowych API Line, LineTranscription, VirtualCollection, tag i process w Scripta/eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na odczyt, modyfikację i usuwanie treści transkrypcji innych użytkowników za pomocą kluczy podstawowych dostarczonych w treści żądania, które są odpytywane względem globalnego menedżera modeli zamiast zapytania o zakresie żądania.
aiosend jest synchronicznym i asynchronicznym klientem API Crypto Pay. Przed wersją 3.0.7, funkcja WebhookHandler.feed_update() deserializuje całe ciało żądania przed weryfikacją podpisu HMAC. Pozwala to nieuwierzytelnionemu atakującemu na wymuszenie kosztownego parsowania dowolnych ładunków JSON, które ostatecznie zostaną odrzucone, co prowadzi do niepotrzebnego zużycia CPU i pamięci. Wersja 3.0.7 naprawia ten problem. Dostępne są pewne obejścia: ograniczenie rozmiaru ciała żądania na odwrotnym proxy lub w frameworku webowym, ograniczenie szybkości dla punktów końcowych webhook oraz/lub odrzucanie zbyt dużych żądań przed parsowaniem JSON.
Nieuwierzytelnione złamanie kontroli dostępu w Simple Membership w wersjach do 4.7.8.
Cross Site Scripting (XSS) dla subskrybenta w WooCommerce Multilingual & Multicurrency w wersjach do 5.5.6.
Podatność Local File Inclusion (LFI) w wtyczce e2pdf w wersjach do 1.32.40, umożliwiająca nieuwierzytelnionemu atakującemu odczyt lokalnych plików na serwerze.
Podatność Broken Access Control w wtyczce Total Upkeep w wersjach do 1.17.2, umożliwiająca nieuwierzytelnionemu atakującemu dostęp do funkcji administracyjnych bez autoryzacji.
Podatność Cross Site Scripting (XSS) w wtyczce Facebook for WooCommerce w wersjach do 3.7.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce Facebook for WordPress w wersjach do 5.2.1, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce Rank Math SEO w wersjach do 1.0.274.1, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce Thrive Architect w wersjach do 10.9.3.1, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce SEO Plugin by Squirrly SEO w wersjach do 14.2.0, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Cross Site Scripting (XSS) w wtyczce WP Data Access w wersjach do 5.5.79, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.
Podatność Broken Access Control w wtyczce Frontend Admin by DynamiApps w wersjach do 3.29.10, umożliwiająca użytkownikowi z rolą subskrybenta dostęp do funkcji administracyjnych bez autoryzacji.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Events Manager w wersjach do 7.4.1.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WPIDE – File Manager & Code Editor w wersjach do 3.5.7.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Advanced AJAX Product Filters w wersjach do 3.2.0.3.
Nieuwierzytelniona podatność na ominięcie zabezpieczeń w wtyczce Login with phone number w wersjach do 1.8.70.
Podatność na wstrzyknięcie SQL z poziomu subskrybenta w wtyczce WP Job Portal w wersjach do 2.5.6.