Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.23)
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi Referrer-Policy, co umożliwia nieautoryzowanemu atakującemu uzyskanie szczegółów odnośnika, co prowadzi do ujawnienia informacji.
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi X-Content-Type-Options. To umożliwia nieautoryzowanemu atakującemu wywołanie sniffingu typu MIME, co prowadzi do Cross-Site Scripting.
SAP BusinessObjects Business Intelligence Platform w wersjach 420 i 430 pozwala nieautoryzowanemu atakującemu, który przejął sesję użytkownika, na obejście starego hasła ofiary poprzez atak brute force, z powodu braku ograniczeń w szybkości zmiany hasła.
SAP NetWeaver Application Server ABAP i ABAP Platform w wersjach KRNL64NUC, 7.22 oraz KERNEL 7.22-7.93 nieprawidłowo sprawdzają uwierzytelnienie dla funkcji wymagających tożsamości użytkownika. W wyniku tego, atakujący może przeprowadzać złośliwe działania w sieci.
Runtime Workbench (RWB) w SAP NetWeaver Process Integration w wersji SAP_XITOOL 7.50 nie przeprowadza kontroli uwierzytelniania dla niektórych funkcjonalności wymagających tożsamości użytkownika. Nieautoryzowany użytkownik może uzyskać dostęp do danych technicznych dotyczących statusu produktu i jego konfiguracji.
Narzędzie wyświetlania wiadomości (MDT) w SAP NetWeaver Process Integration w wersji SAP_XIAF 7.50 nie przeprowadza kontroli uwierzytelniania dla niektórych funkcji wymagających tożsamości użytkownika. Nieautoryzowany użytkownik może uzyskać dostęp do danych technicznych dotyczących statusu produktu i jego konfiguracji.
Podczas tworzenia szablonu wpisu dziennika w SAP S/4HANA, atakujący mógłby przechwycić żądanie zapisu i zmienić szablon, co wpływa na poufność i integralność zasobu. Dodatkowo, standardowy szablon mógłby zostać usunięty, co prowadzi do tymczasowej niedostępności zasobu.
Warstwa komunikacyjna BICS w SAP BW oraz SAP BW/4HANA może ujawniać nieautoryzowane wartości komórek w odpowiedzi na zapytania. Wymagana jest jednak odpowiednia autoryzacja na poziomie zapytania oraz na poziomie kluczowych wskaźników.
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 brakuje nagłówków Content-Security-Policy i X-XSS-Protection. To umożliwia nieautoryzowanemu atakującemu próbę przeprowadzenia ataku typu reflected cross-site scripting, co może prowadzić do ujawnienia lub modyfikacji informacji.
W Issabel issabel-pbx w wersji 4.0.0-6 występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrach Nazwa Wirtualnego Faksu i Nazwa Identyfikatora Dzwoniącego w funkcji Nowy Wirtualny Faks.
W wersji 4 systemu Issabel PBX występuje podatność typu stored cross site scripting (XSS) w pliku index.php?menu=billing_rates, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek wprowadzony w polach Nazwa lub Prefiks w module Utwórz Nową Stawkę.
W Issabel issabel-pbx w wersji 4.0.0-6 występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrach Grupa i Opis.
Wykryto krytyczną podatność w Ruijie BCR810W w wersji 2.5.10, która dotyczy nieznanego przetwarzania komponentu Tracert Page. Manipulacja prowadzi do wstrzyknięcia poleceń systemowych.
Wykryto krytyczną podatność w kodbox 1.26, która dotyczy funkcji Execute w pliku webconsole.php.txt komponentu WebConsole Plug-In. Manipulacja tą funkcją prowadzi do wstrzyknięcia poleceń systemowych.
W TamronOS w wersjach do 20230703 odkryto krytyczną podatność, która dotyczy nieznanej części pliku /api/ping. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemowych.
W PHPGurukul Online Shopping Portal 1.0 odkryto krytyczną podatność w nieznanej funkcjonalności strony rejestracji. Manipulacja tą podatnością prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelnienia.
Atakujący może obejść najnowszą łatkę Delta Electronics InfraSuite Device Master (wersje przed 1.0.7), co pozwala na uzyskanie dostępu do zawartości plików.
W systemie zarządzania opłatami Best Fee Management System w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy funkcji save_user w pliku admin_class.php komponentu Add User Handler, co prowadzi do niewłaściwych kontroli dostępu.
W systemie raportowania pożarów PHPGurukul w wersji 1.2 występuje podatność typu Cross Site Scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do pola wyszukiwania.
W systemie zarządzania hostelami w wersji 2.1 występuje podatność typu Cross-Site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w polu wyszukiwania rezerwacji.