Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.08)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jądrze Linux wykryto wyścig między funkcjami handle_posix_cpu_timers() i posix_cpu_timer_del(). Gdy kończące się zadanie nie jest automatycznie przejmowane, może zostać przejęte przez rodzica po unlock_task_sighand(), co prowadzi do problemów z synchronizacją.
Wtyczka Extensions For CF7 (Contact form 7 Database, Conditional Fields and Redirection) dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w polu 'delete-file' we wszystkich wersjach do 3.2.8 włącznie. Umożliwia to nieautoryzowanym atakującym usunięcie dowolnych plików na serwerze podczas usuwania zgłoszenia przez administratora.
Wtyczka WP JobHunt dla WordPressa jest podatna na niebezpieczne bezpośrednie odniesienie do obiektu we wszystkich wersjach do 7.2 włącznie, przez funkcję cs_remove_profile_callback(). Brak walidacji na kluczu kontrolowanym przez użytkownika umożliwia atakującym z poziomem dostępu Subskrybenta i wyżej usuwanie kont innych użytkowników, w tym administratorów.
W kodzie Public Chat Room 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /login.php, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.
W podatności CVE-2025-7945 odkryto krytyczny błąd w urządzeniach D-Link DIR-513 do daty 20190831. Problem dotyczy funkcji formSetWanDhcpplus w pliku /goform/formSetWanDhcpplus, gdzie manipulacja argumentem curTime prowadzi do przepełnienia bufora.
W oprogramowaniu Manager-io/Manager zidentyfikowano krytyczną podatność typu Server-Side Request Forgery (SSRF), która pozwala nieautoryzowanemu atakującemu na pełny odczyt danych. Dotyczy to komponentu proxy w wersjach Desktop i Server do 25.7.18.2519 włącznie.
Serwer Lara Translate MCP, używany w API Lara Translate, zawiera podatność na wstrzykiwanie poleceń w wersjach 0.0.11 i poniżej. Problem wynika z niesanitarnych parametrów wejściowych w wywołaniu child_process.exec, co pozwala atakującemu na wstrzyknięcie dowolnych poleceń systemowych.
Cadwyn, który tworzy gotowe do produkcji wersjonowanie API podobne do Stripe w FastAPI, ma w wersjach przed 5.4.3 podatność na atak typu Reflected XSS w parametrze wersji punktu końcowego '/docs'. Atakujący może wykonać kod JavaScript w sesji użytkownika aplikacji opartej na Cadwyn za pomocą ataku jednego kliknięcia.
W wersji 1.1.1 i wcześniejszych PHProxy występuje podatność typu Server-Side Request Forgery (SSRF) w funkcjonalności przetwarzania URL. Możliwe jest ominięcie walidacji wejścia dla parametru _proxurl, co pozwala zdalnemu, nieautoryzowanemu atakującemu na przesłanie specjalnie przygotowanego URL.
Podatność typu Insecure Direct Object Reference (IDOR) w Liner do 2025-06-03 umożliwia atakującym uzyskanie wrażliwych informacji poprzez spreparowane parametry space_id, thread_id i message_id w punkcie końcowym v1/space/{space_id}/thread/{thread_id}/message/{message_id}.
Podatność typu Insecure Direct Object Reference (IDOR) w Dippy (chat.dippy.ai) w wersji 2 umożliwia atakującym uzyskanie wrażliwych informacji poprzez parametr conversation_id w punkcie końcowym conversation_history.
Wykryto podatność typu reflected cross-site scripting (XSS) w pliku index.php w Luxcal 4.5.2, która pozwala nieautoryzowanemu atakującemu na kradzież danych innych użytkowników.
W wersjach Jakarta Mail przed 2.0.2 istnieje możliwość przeprowadzenia ataku typu SMTP Injection poprzez wykorzystanie znaków UTF-8 i do oddzielania różnych wiadomości.
W systemie sprzedaży i zarządzania zapasami Campcodes w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /pages/settings_update.php komponentu Setting Handler, gdzie manipulacja argumentem ID prowadzi do wstrzykiwania SQL.
W oprogramowaniu Linksys E2500 w wersji 3.0.04.002 opcja chroot_local_user jest włączona w pliku konfiguracyjnym vsftpd. Może to prowadzić do nieautoryzowanego dostępu do plików systemowych, eskalacji uprawnień lub wykorzystania serwera jako punktu przesiadkowego do ataków na sieć wewnętrzną.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /members/admin_pic.php, gdzie manipulacja argumentem 'image' prowadzi do nieograniczonego przesyłania plików.
W oprogramowaniu H3C GR2200 w wersji MiniGR1A0V100R016 opcja USERLIMIT_GLOBAL w pliku /etc/bftpd.conf jest ustawiona na 0. Pozwala to na nieograniczoną liczbę połączeń użytkowników, co może prowadzić do ataków typu DoS (odmowa usługi).
W pliku konfiguracyjnym racoon w urządzeniu TRENDnet TEW-WLC100P w wersji 2.03b03 pierwszy element exchage_mode ustawiony jest na aggressive. Tryb agresywny w fazie 1 IKE ujawnia tożsamość w postaci jawnego tekstu, jest podatny na ataki słownikowe offline i nie zapewnia elastyczności w negocjowaniu parametrów bezpieczeństwa.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /members/add_members.php, gdzie manipulacja argumentem 'mobile' prowadzi do ataku typu SQL injection.
W systemie Church Donation System w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcji w pliku /members/edit_Members.php, gdzie manipulacja argumentem fname prowadzi do wstrzyknięcia SQL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS