Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka RapidLoad – Optimize Web Vitals Automatically dla WordPress jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku weryfikacji uprawnień w kilku funkcjach. Dotyczy to wszystkich wersji do i włącznie z 2.4.2.
W komponentach TeamViewer Patch & Asset Management przed wersją 24.12 na systemie Windows występują niewystarczające uprawnienia, które pozwalają lokalnie uwierzytelnionemu użytkownikowi na usuwanie dowolnych plików. Problem ten dotyczy zarządzania zdalnego w TeamViewer.
W podatności CVE-2024-11737 występuje niewłaściwa walidacja danych wejściowych, co może prowadzić do odmowy usługi oraz utraty poufności i integralności kontrolera, gdy do urządzenia zostanie wysłany nieautoryzowany, spreparowany pakiet Modbus.
W systemie PHPGurukul Beauty Parlour Management System v1.1 wykryto podatność na atak XSS w pliku profile.php. Atakujący może wstrzyknąć dowolny kod HTML do parametrów 'Firstname' i 'Last name', co umożliwia zdalne wykonanie kodu.
W systemie Beauty Parlour Management System v1.1 od Phpgurukul wykryto podatność na wstrzykiwanie SQL w pliku `login.php` poprzez parametr `emailcont`. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Mitel MiCollab do wersji 9.8 SP2 może pozwolić uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na odczyt lokalnych plików z powodu niewystarczającej sanityzacji wejścia. Udany exploit może pozwolić na dostęp do zasobów ograniczonych do poziomu administratora, ale ujawnienie jest ograniczone do nieistotnych informacji systemowych. Podatność nie pozwala na modyfikację plików ani eskalację uprawnień.
W wersjach Avenwu Whistle do 2.9.90 występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atakującym wykonywanie złośliwych wywołań API. Może to prowadzić do wykonania dowolnego kodu na maszynie ofiary.
W AirWave CLI występuje podatność na zdalne wykonanie kodu (RCE), która wymaga uwierzytelnienia. Jej wykorzystanie może pozwolić zdalnemu, uwierzytelnionemu atakującemu na uruchamianie dowolnych poleceń jako użytkownik z uprawnieniami na hosta.
Podatność w systemie BYD Dilink Headunit w wersjach od 3.0 do 4.0 umożliwia atakującym ominięcie uwierzytelniania poprzez atak brute-force. Luka wynika z braku ograniczeń liczby prób logowania.
Menadżer pakietów pnpm przed wersją 9.15.0 niewłaściwie obsługuje nadpisania i globalną pamięć podręczną. Nadpisania z jednego workspace'u przenikają do metadanych npm zapisanych w globalnej pamięci podręcznej, co może prowadzić do nieautoryzowanego wykonania kodu w innych workspace'ach.
W wersjach Splunk Enterprise poniżej 9.3.2, 9.2.4 i 9.1.7 oraz wersjach poniżej 3.4.261 i 3.7.13 aplikacji Splunk Secure Gateway na platformie Splunk Cloud, użytkownik o niskich uprawnieniach, który nie posiada ról „admin” ani „power”, może przeprowadzić zdalne wykonanie kodu (RCE).
MOBATIME Network Master Clock - DTS 4801 umożliwia atakującym uzyskanie początkowego dostępu za pomocą SSH, wykorzystując domyślne dane logowania.
W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem związany z używaniem wspólnego konta administracyjnego. Uwierzytelnienie tego użytkownika opiera się na niebezpiecznym, statycznym sekrecie, który jest wspólny dla wszystkich dotkniętych wersji oprogramowania.
W MSA FieldServer Gateway w wersjach od 5.0.0 do 6.5.2 (naprawione w 7.0.0) odkryto problem, który pozwala atakującemu na ominięcie ograniczeń dostępu dla użytkowników wewnętrznych. Atakujący może uwierzytelnić się jako użytkownik wewnętrzny z sieci, jeśli zna jego hasło.
W urządzeniu COMFAST CF-WR630AX w wersji v2.7.0.2 odkryto podatność na twardo zakodowane hasło w pliku /etc/shadow, co umożliwia atakującym logowanie się jako root.
Nette Database w wersjach do 3.2.4 umożliwia wstrzykiwanie SQL w określonych sytuacjach, gdy nieufny filtr jest bezpośrednio przekazywany do metody where. Należy zauważyć, że dostawca twierdzi, iż jest to zamierzone zachowanie.
Zidentyfikowano podatność w różnych wersjach oprogramowania SIMATIC, w tym S7-PLCSIM, STEP 7, WinCC oraz SIMOCODE ES. Problemy dotyczą wersji przed określonymi aktualizacjami, co może prowadzić do potencjalnych zagrożeń bezpieczeństwa.
Zidentyfikowano podatność w różnych wersjach oprogramowania SIMATIC, w tym S7-PLCSIM, STEP 7 Safety, WinCC Unified oraz SIMOCODE ES. Problemy dotyczą wszystkich wersji wymienionych produktów oraz niektórych wersji przed określonymi aktualizacjami.
Zidentyfikowano podatność w urządzeniach RUGGEDCOM ROX MX5000, ROX MX5000RE, ROX RX1400, ROX RX1500, ROX RX1501, ROX RX1510, ROX RX1511, ROX RX1512, ROX RX1524, ROX RX1536 oraz ROX RX5000 (wszystkie wersje < V2.16.0). Funkcja CLI w interfejsie webowym tych urządzeń jest podatna na atak typu cross-site request forgery (CSRF).
Wtyczka Active Products Tables dla WooCommerce w WordPressie jest podatna na wykonanie dowolnego shortcode'a poprzez akcję AJAX woot_get_smth we wszystkich wersjach do i włącznie z 1.0.6.5. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS