Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W module AI (Artificial Intelligence) dla Drupala wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka pozwala atakującemu na wykonanie dowolnych poleceń na serwerze poprzez nieprawidłowe neutralizowanie specjalnych elementów.
Jooby to framework webowy dla Javy i Kotlina. Moduł pac4j io.jooby.internal.pac4j.SessionStoreImpl#get deserializuje nieufne dane, co stanowi podatność.
Vite to framework narzędziowy frontendowy dla JavaScript. Vite ujawnia zawartość niedozwolonych plików przy użyciu ?inline&import lub ?raw?import. Podatność dotyczy tylko aplikacji, które jawnie wystawiają serwer deweloperski Vite do sieci (za pomocą opcji --host lub server.host). Podatność naprawiono w wersjach 6.2.4, 6.1.3, 6.0.13, 5.4.16 i 4.5.11.
W systemie Digital China DCME-520 do wersji 20250320 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /usr/local/WWW/function/audit/newstatistics/mon_merge_stat_hist.php. Manipulacja argumentem type_name prowadzi do wstrzyknięcia poleceń systemowych.
Wersje VyOS od 1.3 do 1.5 (naprawione w 1.4.2) oraz systemy oparte na Debianie korzystające z Dropbear w połączeniu z live-build mają te same prywatne klucze hosta Dropbear w różnych instalacjach. Umożliwia to atakującym przeprowadzenie aktywnych ataków typu man-in-the-middle na połączenia SSH, jeśli Dropbear jest włączony jako demon SSH.
W podatności CVE-2025-31625 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Useinfluence w wersjach od n/a do 1.0.8.
Podatność typu Cross-Site Request Forgery (CSRF) w edytorze Rich Text Editor umożliwia przechowywanie ataków XSS. Problem dotyczy wersji edytora od n/a do 1.0.1 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w integratorze e-mail PostmarkApp autorstwa Gagana Deepa Singha umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji integratora od n/a do 2.4 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Varnish WordPress (wersje od n/a do 1.7) umożliwia atakującym przeprowadzanie nieautoryzowanych żądań w imieniu zalogowanych użytkowników.
Podatność CVE-2025-31615 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Contact Forms, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.4 włącznie.
W podatności CVE-2025-31613 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce AB Google Map Travel, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji wtyczki od n/a do 4.6 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Leadfox dla WordPressa umożliwia atak CSRF. Problem ten dotyczy wersji Leadfox dla WordPressa od n/a do 2.1.9 włącznie.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Copy Media URL autorstwa Ashisha Ajani umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.
Podatność CSRF w wtyczce wp-buy Related Posts Widget with Thumbnails umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.2 włącznie.
Wtyczka wp-buy do WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.0.0.1.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Rio Video Gallery umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Rio Video Gallery od n/a do 2.3.6 włącznie.
Wtyczka Uptime Robot dla WordPressa zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.3.
W podatności CVE-2025-31542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce My auctions allegro w wersjach od n/a do 3.6.20.
W podatności CVE-2025-31526 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze portfela Behance. Problem dotyczy wersji menedżera portfela Behance od n/a do 1.7.5 włącznie.
Unraid w wersji 7.0.0 przed 7.0.1 pozwala zdalnym użytkownikom na dostęp do interfejsu WebGUI i konsoli webowej jako root bez uwierzytelnienia, jeśli kontener działa w trybie sieciowym Host z włączoną opcją Use Tailscale.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS