Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka TrueBooker dla WordPress (do wersji 1.2.2 włącznie) jest podatna na ogólną iniekcję SQL przez parametr 'alldata[truebooker_user]'. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy. Nonce jest ujawniony niezalogowanym użytkownikom, a exploit wymaga obecności określonych pól rezerwacji.
Wtyczka Premium Packages dla WordPress (do wersji 6.2.0 włącznie) jest podatna na iniekcję SQL przez parametr 'code' w endpoint REST API /wp-json/wpdmpp/v1/cart/coupon. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy, z powodu braku odpowiedniego przygotowania zapytania.
Wtyczka WP Fast Total Search dla WordPress (do wersji 1.80.280 włącznie) jest podatna na ogólną iniekcję SQL przez parametr 'form_data[s]'. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL, aby wyodrębnić wrażliwe dane z bazy.
Wtyczka Better Messages dla WordPressa do wersji 2.15.19 zawiera podatność na usuwanie dowolnych plików w funkcji delete_sticker. Uwierzytelniony atakujący z uprawnieniami administratora może usunąć dowolny plik na serwerze, co może prowadzić do zdalnego wykonania kodu.
Wtyczka Tablesome Table dla WordPressa przed wersją 1.1.31 nie przeprowadza żadnej autoryzacji, weryfikacji uprawnień ani sprawdzania nonce w jednej z akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie nowych opublikowanych postów oraz nadpisywanie dowolnych istniejących postów i stron.
Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.3 nieprawidłowo oczyszcza i escapuje parametr przed odbiciem go na stronie administracyjnej. Prowadzi to do Refleksyjnego Cross-Site Scripting (XSS), które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.
Wtyczka Demi dla WordPressa do wersji 0.0.7 przechowuje klucz HMAC i token przywracania w publicznie dostępnym podkatalogu uploads. Nieuwierzytelniony atakujący może odczytać klucz i sfałszować żądanie do AJAX handlera demi_restore_step, co pozwala na rekurencyjne usuwanie dowolnych katalogów.
Biblioteka zip-lib przed wersją 1.1.0 jest podatna na Directory Traversal przez mechanizm buforowania walidacji ścieżki podczas ekstrakcji. Atakujący może ominąć zabezpieczenia, ponieważ funkcja isOutsideTargetFolder sprawdza ścieżkę tylko przy pierwszym utworzeniu dowiązania symbolicznego.
Podatność Broken Access Control w wtyczce Xendit Payment dla WordPressa w wersjach do 7.1.0. Nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp.
Podatność Cross Site Scripting (XSS) w wtyczce Contest Gallery dla WordPressa w wersjach do 30.0.6. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w wtyczce Kali Forms dla WordPressa w wersjach do 2.4.18. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w wtyczce BackWPup dla WordPressa w wersjach do 5.7.4. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
Podatność SSRF (Server Side Request Forgery) w wtyczce FormCraft do wersji 3.9.15. Atakujący bez uwierzytelnienia może wysyłać żądania z serwera do wewnętrznych zasobów sieciowych.
Podatność XSS (Cross Site Scripting) w wtyczce GiveWP do wersji 4.16.3. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność XSS w wtyczce GetGenie do wersji 4.4.3. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność XSS w wtyczce Ultimate Addons for Contact Form 7 do wersji 3.5.45. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność XSS w wtyczce Message Filter for Contact Form 7 do wersji 1.6.3.9. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność XSS w wtyczce Spam protection, AntiSpam, FireWall by CleanTalk do wersji 6.82. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność XSS w wtyczce miniorange otp verification do wersji 5.5.1. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.
Podatność SSRF w wtyczce Simple Link Directory Pro do wersji 15.0.6. Atakujący bez uwierzytelnienia może wysyłać żądania z serwera do wewnętrznych zasobów sieciowych.