Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność na wstrzykiwanie poleceń w funkcji logread.set_config w pliku /usr/lib/oui-httpd/rpc/logread komponentu Logread Lua RPC Plugin. Manipulacja argumentem record_size prowadzi do wstrzyknięcia polecenia. Exploit został opublikowany i może być wykorzystany.
W GL.iNet GL-MT3000 do wersji 4.4.5 stwierdzono podatność na wstrzykiwanie poleceń w funkcji logread.get_system_log w pliku /usr/lib/oui-httpd/rpc/logread komponentu Logread Lua RPC plugin. Manipulacja argumentem module prowadzi do wstrzyknięcia polecenia. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany.
CTI-Transmute zawiera podatność na cross-site request forgery (CSRF) w funkcji usuwania użytkowników. Endpoint /account/delete/<id> akceptował żądania HTTP GET, co pozwalało nieuwierzytelnionemu atakującemu na zmuszenie administratora do usunięcia konta bez jego zgody.
CTI-Transmute zawiera podatność na niekontrolowane zużycie zasobów w nieuwierzytelnionym endpointcie /activity_timeline. Parametr days nie był ograniczony do rozsądnego zakresu, co pozwala atakującemu na przeciążenie systemu.
CTI-Transmute jest podatny na atak SSRF w funkcji generowania raportów PDF. Użytkownik może wstrzyknąć złośliwe odwołania do zasobów (http, https, file), które serwer aplikacji pobiera podczas renderowania PDF.
eParakstītājs 3.0 dla Windows przed wersją 1.10.0 pobiera aktualizacje przez niezabezpieczony kanał. Aplikacja akceptuje każdy certyfikat TLS, nie weryfikuje podpisu cyfrowego ani sumy kontrolnej pobieranego instalatora.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi bez dodatkowych uprawnień.
W modemie NR występuje możliwa nieprawidłowa walidacja danych wejściowych, co może prowadzić do zdalnej odmowy usługi, wymagając uprawnień systemowych.
Synology Assistant przed wersją 7.0.7-50095 ma nieprawidłowe domyślne uprawnienia. Lokalny użytkownik może odczytywać lub zapisywać dowolne pliki oraz przeprowadzać atak DoS podczas instalacji.
W urządzeniu Wavlink WL-NU516U1 (wersja 708c073-mt7628) funkcja importu konfiguracji nie zabezpiecza argumentu Password, co umożliwia zdalne wstrzyknięcie poleceń systemu operacyjnego. Atak jest trudny do przeprowadzenia, ale exploit został opublikowany.
Wtyczka LogMyTrip do WordPressa w wersji do 1.9 nie oczyszcza ani nie koduje wartości pobranej z ciasteczka przed użyciem w zapytaniu SQL. Niezalogowani użytkownicy mogą przeprowadzić atak SQL Injection na stronach wyświetlających shortcode wtyczki.
Wtyczka WordPress 'sm page duplicator' do wersji 1.0.0 nie oczyszcza ani nie zabezpiecza przechowywanej wartości przed użyciem jej w zapytaniu SQL podczas duplikowania strony, co pozwala użytkownikom z rolą Edytora i wyższym na przeprowadzanie ataków SQL Injection.
Wtyczka ChamaWP WordPress przed wersją 1.0.13 nieprawidłowo waliduje dane wejściowe użytkownika przed przekazaniem ich do funkcji deserializacji PHP. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych obiektów PHP, co może prowadzić do zdalnego wykonania kodu, jeśli w zainstalowanym oprogramowaniu istnieje odpowiedni łańcuch gadżetów.
W Bouncy Castle dla Java przed wersją 1.85, możliwe jest wyczerpanie pamięci (OOM) z powodu nieograniczonej alokacji przy odczycie o określonej długości. Problem dotyczy również wersji LTS i FIPS.