Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2024-44003 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Spice Starter Sites, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.2.5.
W podatności CVE-2024-44002 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Team Showcase w wersjach od n/a do 1.22.25 włącznie.
Podatność CVE-2024-43975 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Super Store Finder dla WordPressa. Problem ten występuje w wersjach od n/a do 6.9.7 włącznie.
Podatność typu 'Cross-site Scripting' (XSS) w Sunshine Photo Cart występuje z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych. Dotyczy to wersji od n/a do 3.2.5.
Podatność CVE-2024-44064 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Like Button Rating w wersjach od n/a do 2.6.53. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
Podatność typu Cross-site Scripting (XSS) w WCFM Marketplace pozwala na refleksyjne wstrzykiwanie złośliwego kodu. Problem dotyczy wersji od n/a do 3.6.11.
W podatności CVE-2024-44007 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w szablonach SKT – Elementor i Gutenberg. Problem ten dotyczy wersji od n/a do 6.14 włącznie.
Wtyczka WPCargo Track & Trace przed wersją 8.0.4 zawiera podatność na wstrzykiwanie SQL w module wpcargo. Atakujący może wykorzystać nieprawidłową neutralizację specjalnych elementów w zapytaniu SQL.
W podatności CVE-2024-43978 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Super Store Finder dla WordPressa. Problem dotyczy wersji wtyczki od n/a do poniżej 6.9.8.
Podatność CVE-2024-43976 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Super Store Finder dla WordPressa. Problem ten dotyczy wersji od n/a do 6.9.7 włącznie.
W podatności CVE-2024-43969 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce Spiffy Calendar. Problem dotyczy wersji Spiffy Calendar od n/a do 4.9.12.
Podatność wstrzyknięcia poleceń systemu operacyjnego w kamerach PTZOptics PT30X-SDI/NDI-xx przed firmware 6.3.40. Kamera nieprawidłowo waliduje wartość konfiguracji ntp_addr, co może prowadzić do wykonania dowolnych poleceń przy starcie ntp_client.
Kamery PTZOptics PT30X-SDI/NDI-xx przed firmware 6.3.40 mają podatność na niewystarczające uwierzytelnienie. Kamera nie egzekwuje uwierzytelnienia do /cgi-bin/param.cgi, gdy żądania są wysyłane bez nagłówka HTTP Authorization. Zdalny, nieuwierzytelniony atakujący może wyciec wrażliwe dane, takie jak nazwy użytkowników, hashe haseł i szczegóły konfiguracji. Dodatkowo może aktualizować poszczególne wartości konfiguracji lub nadpisać cały plik.
Kernela arduino-esp32 dla mikrokontrolerów ESP32 i pokrewnych jest podatny na wiele luk związanych z Wykonaniem Zatrutego Rurociągu (PPE). Występuje możliwość wstrzyknięcia kodu w workflow `tests_results.yml` oraz wstrzyknięcia zmiennych środowiskowych. Problemy te zostały rozwiązane, jednak użytkownicy powinni zweryfikować zawartość pobranych artefaktów.
Nieprawidłowa autoryzacja w Dynamics 365 Business Central umożliwia uwierzytelnionemu atakującemu podniesienie uprawnień przez sieć.
Podatność w GroupMe związana z niewłaściwą kontrolą dostępu umożliwia nieuwierzytelnionemu atakującemu podniesienie uprawnień w sieci.
W ArubaOS występuje podatność na wykonanie poleceń przez uwierzytelnionego użytkownika w interfejsie wiersza poleceń (CLI). Skuteczne wykorzystanie tej podatności pozwala na uruchamianie dowolnych poleceń jako użytkownik z uprawnieniami na systemie operacyjnym.
W ArubaOS występuje podatność na wstrzykiwanie poleceń, która wymaga uwierzytelnienia. Jej skuteczne wykorzystanie pozwala na wstrzykiwanie poleceń powłoki w systemie operacyjnym.
W ArubaOS występuje podatność na atak typu Path Traversal, która wymaga uwierzytelnienia. Jej wykorzystanie pozwala atakującemu na instalację niepodpisanych pakietów w systemie operacyjnym, co umożliwia wykonanie dowolnego kodu lub zainstalowanie implantów.
Podatność eskalacji uprawnień w VMware vCenter Server. Złośliwy aktor z dostępem sieciowym do vCenter może wysłać specjalnie spreparowany pakiet sieciowy i uzyskać uprawnienia root.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS