Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL Injection w dingfanzuCMS w wersji 1.0 umożliwia lokalnemu atakującemu wykonanie dowolnego kodu poprzez niewłaściwe filtrowanie treści w module shopId w pliku 'checkOrder.php'.
Oprogramowanie do zdalnej pomocy SimpleHelp w wersji 5.5.7 i wcześniejszych pozwala użytkownikom z uprawnieniami administratora na przesyłanie dowolnych plików w dowolne miejsce w systemie plików poprzez przesłanie spreparowanego pliku zip (tzw. zip slip). Może to być wykorzystane do wykonania dowolnego kodu na hoście w kontekście użytkownika serwera SimpleHelp.
Oprogramowanie do zdalnej pomocy SimpleHelp w wersji 5.5.7 i wcześniejszych jest podatne na wiele podatności typu path traversal, które umożliwiają nieuwierzytelnionym zdalnym atakującym pobieranie dowolnych plików z hosta SimpleHelp za pomocą spreparowanych żądań HTTP. Pliki te obejmują pliki konfiguracyjne serwera zawierające różne sekrety i zahaszowane hasła użytkowników.
Oprogramowanie do zdalnej pomocy SimpleHelp w wersji 5.5.7 i wcześniejszych ma podatność, która pozwala technikom o niskich uprawnieniach na tworzenie kluczy API z nadmiernymi uprawnieniami. Klucze te mogą być wykorzystane do eskalacji uprawnień do roli administratora serwera.
W urządzeniu HI-SCAN 6040i Hitrax HX-03-19-I odkryto twardo zakodowane dane uwierzytelniające, które umożliwiają dostęp do wsparcia technicznego i serwisu dostawcy.
Problem w usłudze AsDB urządzenia HI-SCAN 6040i Hitrax HX-03-19-I umożliwia atakującym enumerację poświadczeń użytkowników za pomocą odpowiednio skonstruowanych żądań protokołu GIOP.
Problem w funkcji USB Autorun w urządzeniu HI-SCAN 6040i Hitrax umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego skryptu z urządzenia USB.
W Sentry, narzędziu do śledzenia błędów i monitorowania wydajności, odkryto krytyczną podatność w implementacji SAML SSO. Umożliwia ona atakującemu przejęcie dowolnego konta użytkownika przy użyciu złośliwego dostawcy tożsamości SAML oraz innej organizacji na tej samej instancji Sentry.
Problem dotyczy niewłaściwego zarządzania pamięcią, co może pozwolić aplikacji na wykonanie dowolnego kodu z uprawnieniami jądra. Został naprawiony w kilku wersjach systemów operacyjnych Apple.
Problem został rozwiązany poprzez poprawę kontroli. Wystąpienie tej podatności może prowadzić do nieoczekiwanego zakończenia działania aplikacji lub wykonania dowolnego kodu.
Problem w natywnych klientach Amazon WorkSpaces (podczas korzystania z protokołu PCoIP) może umożliwić atakującemu dostęp do zdalnych sesji poprzez atak typu man-in-the-middle.
Problem w natywnych klientach Amazon WorkSpaces (przy użyciu protokołu Amazon DCV), Amazon AppStream 2.0 oraz klientów Amazon DCV może umożliwić atakującemu dostęp do zdalnych sesji poprzez atak typu man-in-the-middle.
Programowalne sterowniki logiczne XINJE XL5E-16T i XD5E-24R-E w wersjach V3.5.3b-V3.7.2a mają podatność w obsłudze wiadomości Modbus. W przypadku nawiązania połączenia TCP z tymi sterownikami w lokalnej sieci (LAN), wysłanie określonej wiadomości Modbus może spowodować awarię PLC, co przerywa normalne działanie programów.
Wersja V3.7.2a urządzenia XINJE XL5E-16T zawiera lukę, która pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) poprzez specjalnie przygotowaną wiadomość Modbus.
Podatność CVE-2025-22799 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w produkcie Neon Product Designer dla WooCommerce, co pozwala na atak typu SQL Injection. Problem ten dotyczy wersji Neon Product Designer od n/a do 2.2.0 włącznie.
W podatności CVE-2025-22795 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w formularzu kontaktowym Multilang Contact Form w wersjach od n/a do 1.5. Problem ten umożliwia atakującym wstrzykiwanie złośliwego kodu JavaScript.
Podatność CVE-2025-22793 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Bold pagos en linea w wersjach od n/a do 3.1.4.
Podatność typu Path Traversal w dodatkach Element Invader dla Elementora umożliwia lokalne włączenie plików PHP. Problem dotyczy wersji dodatków ElementInvader dla Elementora od n/a do 1.2.6 włącznie.
W systemie rezerwacji kursów ComMotion występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu od n/a do 6.0.6.
Podatność typu Cross-Site Request Forgery (CSRF) w Background Control swedish boy umożliwia atak typu Path Traversal. Problem ten dotyczy wersji Background Control od n/a do 1.0.5 włącznie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS