Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Użycie po zwolnieniu w komponencie Loader przeglądarki Google Chrome przed wersją 151.0.7922.72 umożliwiało zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy poprzez spreparowaną stronę HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie Network przeglądarki Google Chrome przed wersją 151.0.7922.72 umożliwiała zdalnemu atakującemu, który przejął proces renderowania, potencjalną ucieczkę z piaskownicy poprzez spreparowaną stronę HTML.
Użycie po zwolnieniu w silniku V8 przeglądarki Google Chrome przed wersją 151.0.7922.72 umożliwiało zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy poprzez spreparowaną stronę HTML.
Podatność Use-after-free w komponencie Navigation przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Warunek wyścigu w komponencie Updater przeglądarki Google Chrome na systemie Mac przed wersją 151.0.7922.72. Lokalny atakujący mógł dokonać eskalacji uprawnień na poziomie systemu operacyjnego za pomocą złośliwego pliku.
Podatność Use-after-free w komponencie Skia przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Podatność Use-after-free w komponencie Compositing przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Podatność w VaahCMS w wersjach 2.0.0-2.3.4 polega na osadzeniu złośliwego, zaciemnionego kodu JavaScript w szablonie Blade odpowiedzialnym za renderowanie e-maili OTP. Kod nawiązuje połączenie WebSocket z serwerem C2, instaluje keylogger pól haseł, skanuje DOM WhatsApp Web i akceptuje zdalne polecenia do przekierowania lub nadpisania strony.
System zarządzania szpitalem kishan0725 w wersji 4.0 jest podatny na iniekcję SQL w pliku check_availability.php poprzez parametry emailid i email.
System zarządzania szpitalem kishan0725 w wersji 4.0 jest podatny na iniekcję SQL w pliku /doctor/edit-patient.php?editid=1.
System zarządzania szpitalem kishan0725 w wersji 4.0 jest podatny na iniekcję SQL w endpointcie view-medhistory.php poprzez parametr viewid.
System CASAP Automated Enrollment System 1.0 od Sourcecodester jest podatny na wstrzykiwanie SQL w pliku /save_user.php poprzez parametr status.
System CASAP Automated Enrollment System 1.0 od Sourcecodester jest podatny na wstrzykiwanie SQL w pliku update_student.php poprzez parametry fname i student_class.
System Advocate office management system 1.0 od Sourcecodester jest podatny na wstrzykiwanie SQL w pliku control/activate_case.php poprzez parametr id, co pozwala na zdalne wykonanie kodu.
System CASAP Automated Enrollment System 1.0 od Sourcecodester jest podatny na wstrzykiwanie SQL w pliku update_password.php poprzez parametr new_password.
OliveTin do wersji 3000.17.0 przechowuje stany logowania OAuth2 w mapie bez ograniczeń czasowych ani rozmiaru, co pozwala nieuwierzytelnionemu atakującemu na wyczerpanie pamięci i spowodowanie odmowy usługi (DoS).
Podatność XML External Entity (XXE) w Jinher OA C6. Nieuwierzytelniony zdalny atakujący może wysłać spreparowany ładunek XML do endpointu GetXmlHttp, aby odczytać dowolne pliki z serwera poprzez atak out-of-band.
W ładowarkach Autel MaxiCharger AC Elite Home występuje podatność na przepełnienie liczby całkowitej (integer underflow) podczas obsługi komunikatów WebSocket OCPP, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na urządzeniu.
GitLab CE/EE w wersjach od 10.1.0 do 19.0.5, 19.1 do 19.1.3 oraz 19.2 do 19.2.1 ma niewystarczające kontrole dostępu przy obsłudze wewnętrznych żądań, co może pozwolić uwierzytelnionemu użytkownikowi z rolą Developer na dostęp do nieautoryzowanych informacji.
Sterownik NTIOLib_X64.sys w MSI Center nie weryfikuje poprawnie pochodzenia komend, co pozwala lokalnemu atakującemu na podniesienie uprawnień do poziomu SYSTEM i wykonanie dowolnego kodu.