Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.20)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w bibliotece HTML::FormHandler dla Perla (do wersji 0.40068) pozwala atakującemu na wywołanie wybranych metod i wyczerpanie zasobów. Dzieje się tak, ponieważ komunikaty błędów budowane z danych żądania są używane jako szablony notacji Locale::Maketext, co umożliwia wykonanie kodu lub alokację dużej ilości pamięci.
Ninja Tables Pro 5.2.11 zawiera podatność związaną z wbudowanym złośliwym kodem, wprowadzonym przez zmodyfikowaną kompilację wtyczki serwowaną przez wycofany serwer aktualizacji. Zmodyfikowana kompilacja dodała złośliwy plik PHP (app/Library/updater/NinjaTableDataSync.php), który utworzył backdoor REST API, umieścił trwałe pliki PHP w katalogach mu-plugins i uploads, zainstalował konto administratora bez hasła oraz zarejestrował zaplanowane zadania, które przetrwały usunięcie wtyczki.
Fluent Forms Pro 6.2.7 zawiera podatność związaną z wbudowanym złośliwym kodem, wprowadzonym przez zmodyfikowaną kompilację wtyczki serwowaną przez wycofany serwer aktualizacji. Zmodyfikowana kompilacja dodała złośliwy plik PHP (libs/class-license-sync.php), ładowany przez dyrektywę require_once dodaną do fluentformpro.php, który utworzył backdoor REST API, umieścił trwałe pliki PHP w katalogach mu-plugins i uploads, zainstalował konto administratora bez hasła oraz zarejestrował zaplanowane zadania, które przetrwały usunięcie wtyczki.
Demon rsync przed wersją 3.5.0 zawiera podatność na fałszowanie adresu IP, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć kontrolę dostępu opartą na adresie IP poprzez wysłanie spreparowanego nagłówka PROXY protocol ze sfałszowanym adresem źródłowym. Atakujący, którzy mogą połączyć się bezpośrednio z demonem rsync, mogą wstrzyknąć sfałszowany źródłowy adres IP w nagłówku PROXY protocol, aby ominąć reguły hosts allow/deny, uzyskując nieautoryzowany dostęp, który w przeciwnym razie byłby zablokowany na podstawie ich rzeczywistego adresu źródłowego.
Wtyczka Nokri w wersjach do 1.6.6 zawiera podatność polegającą na nieuwierzytelnionym złamaniu kontroli dostępu (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do funkcji lub danych, które powinny być chronione.
Wtyczka Church Admin w wersjach do 5.1.1 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
Wtyczka Everest Backup w wersjach do 2.3.12 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
Wtyczka Cartify w wersjach do 1.3.0.1 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.
Wtyczka RealPress w wersjach do 1.1.2 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.
Wtyczka If-So Dynamic Content Personalization w wersjach do 1.10 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta. Osoba atakująca z kontem subskrybenta może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Active Products Tables for WooCommerce w wersjach do 1.1.1. Atakujący może wykonać dowolne zapytania SQL bez logowania.
Nieuwierzytelniona podatność na eskalację uprawnień w wtyczce SMS Alert Order Notifications w wersjach do 3.9.7. Atakujący może uzyskać wyższe uprawnienia bez logowania.
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Listdom w wersjach do 5.6.0. Atakujący może wykonać dowolne zapytania SQL bez logowania.
Nieuwierzytelniona podatność na eskalację uprawnień w wtyczce miniorange otp verification w wersjach do 5.5.1. Atakujący może uzyskać wyższe uprawnienia bez logowania.
Podatność na wstrzykiwanie SQL z uprawnieniami subskrybenta w wtyczce WPJAM Basic w wersjach do 7.0.1. Użytkownik z rolą subskrybenta może wykonać dowolne zapytania SQL.
Nieuwierzytelniona podatność na wykonanie dowolnego kodu w wtyczce WP BASE Booking w wersjach do 6.3.0. Atakujący może wykonać dowolny kod bez logowania.
Nieuwierzytelniona podatność na złamane uwierzytelnianie w wtyczce Log in with Google w wersjach do 1.4.2. Atakujący może obejść mechanizmy uwierzytelniania bez logowania.
Nieuwierzytelniona podatność na wstrzykiwanie obiektów PHP w wtyczce Headless Single Sign On w wersjach do 1.6. Atakujący może wstrzyknąć złośliwe obiekty PHP bez logowania.
Nieuwierzytelniona podatność na obejście zabezpieczeń w wtyczce Headless Single Sign On w wersjach do 1.6. Atakujący może ominąć mechanizmy bezpieczeństwa bez logowania.