Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.20)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce Appointment Hour Booking w wersjach do 1.5.91. Atak nie wymaga uwierzytelnienia.
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce MultiVendorX w wersjach do 5.0.14. Atak nie wymaga uwierzytelnienia.
Podatność na atak XSS (Cross Site Scripting) w wtyczce WP Tab Widget w wersjach do 1.2.11. Atak wymaga uprawnień kontrybutora.
Podatność Cross Site Scripting (XSS) w bloku Spisu Treści (Table of Contents) w wersjach do 1.5.0. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w efekcie maszynowego pisania (Typing Effect) w wersjach do 1.3.7. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w skrócie Wufoo (Wufoo Shortcode) w wersjach do 1.55. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w Video Conferencing with Zoom w wersjach do 4.6.8. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w Login With Ajax w wersjach do 4.5.1. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w WPZOOM Forms – Contact Form Plugin for Gutenberg w wersjach do 2.0.4. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w Featured Video Plus w wersjach do 2.3.3. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Cross Site Scripting (XSS) w Wise Chat w wersjach do 3.4. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.
Podatność Insecure Direct Object References (IDOR) w Modal Survey w wersjach do 2.0.2.2.3. Użytkownik z rolą Subskrybent może uzyskać dostęp do nieautoryzowanych zasobów.
W bibliotece yawkat LZ4 Java przed wersją 1.11.1 funkcje haszujące XXHash oparte na JNI nie sprawdzają poprawności tablicy bajtów oraz argumentów off i len, co pozwala na przekazanie pustych tablic lub zbyt dużych zakresów do kodu natywnego. Może to prowadzić do odczytu poza tablicą Java i awaryjnego zakończenia działania JVM. Problem został naprawiony w wersji 1.11.1.
W goshs, prostym serwerze HTTP napisanym w Go, przed wersją 2.1.0 funkcja ShareHandler odczytuje limit pobrań tokenu pod blokadą RLock, zwalnia blokadę, serwuje plik, a następnie ponownie ją przejmuje, aby zwiększyć licznik. Współbieżne żądania odczytują ten sam stan i wszystkie przechodzą kontrolę, co pozwala przekroczyć zamierzony limit. Wersja 2.1.0 naprawia ten problem.
Wtyczka [Aotuman] Grab WeChat Articles w wersji 2.0.1 i wcześniejszych zawiera podatność na Server Side Request Forgery (SSRF) w subskrybencie. Umożliwia to atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.
Moduł 'stringprep' w Pythonie nie przetwarzał poprawnie znaków z tabel B.2 i B.3 standardu RFC 3454, używając najnowszych atrybutów Unicode zamiast określonej wersji Unicode 3.2.0. Powoduje to niezgodności podczas przetwarzania nazw domen z użyciem IDNA 2003 (kodowanie 'idna') oraz funkcji in_table_b2() modułu 'stringprep'. Problem dotyczy nazw domen zawierających znaki, które nie były wcześniej zarejestrowane lub których atrybuty Unicode, takie jak składanie wielkich liter, zostały zaktualizowane po Unicode 3.2.0.
Podatność typu wyścig (race condition) w komponencie JavaScript Engine. Została naprawiona w przeglądarce Firefox 154, Firefox ESR 153.1, Thunderbird 154 i Thunderbird 153.1.
Problem z clickjackingiem w komponencie Pobieranie w Firefox dla Androida. Podatność została naprawiona w Firefox 154.