Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Problem został rozwiązany poprzez poprawę kontroli. Aplikacja może być w stanie wydostać się ze swojego piaskownicy, co stwarza potencjalne zagrożenie dla bezpieczeństwa systemu.
W podatności CVE-2024-34800 występuje brak autoryzacji w narzędziu Crafthemes Demo Import, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji Crafthemes Demo Import od n/a do 3.3 włącznie.
W podatności CVE-2024-34762 zidentyfikowano problem związany z niewłaściwym ograniczeniem ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w wtyczce Advanced Custom Fields PRO. Dotyczy to wersji przed 6.2.10.
W podatności CVE-2024-34761 zidentyfikowano problem z nieprawidłową kontrolą generacji kodu ('Code Injection') w WPENGINE INC Advanced Custom Fields PRO, co pozwala na wstrzykiwanie kodu. Problem ten dotyczy wersji Advanced Custom Fields PRO od n/a do 6.2.10.
Wersja 31.66 SiSoftware SANDRA (SANDRA.sys 15.18.1.1) i wcześniejsze zawierają lukę, która pozwala atakującemu na eskalację uprawnień poprzez wysłanie spreparowanego bufora do sterownika jądra za pomocą interfejsu API DeviceIoControl w systemie Windows.
W programach FinalWire AIRDA Extreme, AIDA64 Engineer, AIDA64 Business oraz AIDA64 Network Audit w wersji 7.00.6700 i wcześniejszych występuje problem, który pozwala lokalnemu atakującemu na eskalację uprawnień poprzez wywołanie DeviceIoControl związane z komponentami MmMapIoSpace, IoAllocateMdl, MmBuildMdlForNonPagedPool lub MmMapLockedPages.
W routerze Comtrend WLD71-T1_v2.0.201820, w wersji GRG-4280us, występuje podatność na wstrzykiwanie poleceń. Umożliwia to uwierzytelnionemu użytkownikowi wykonanie poleceń wewnątrz routera poprzez wysłanie żądania POST do adresu URL “/boaform/admin/formUserTracert”.
W jądrze Linuxa wykryto błąd wyścigu w funkcji __dst_negative_advice(), który nie przestrzega zasad RCU podczas czyszczenia sk->dst_cache, co może prowadzić do użycia po zwolnieniu (UAF). Problem dotyczy głównie gniazd UDP i wymaga poprawnej kolejności operacji: najpierw wyzerowanie sk_dst_cache, potem zwolnienie starego dst.
W PHP w wersjach 8.1.* przed 8.1.29, 8.2.* przed 8.2.20, 8.3.* przed 8.3.8, w przypadku używania Apache i PHP-CGI na Windows, jeśli system jest skonfigurowany do używania określonych stron kodowych, Windows może użyć zachowania "Best-Fit" do zastąpienia znaków w wierszu poleceń przekazywanym do funkcji Win32 API. Moduł PHP CGI może błędnie zinterpretować te znaki jako opcje PHP, co może pozwolić złośliwemu użytkownikowi na przekazanie opcji do uruchamianego pliku binarnego PHP, a tym samym ujawnienie kodu źródłowego skryptów, uruchomienie dowolnego kodu PHP na serwerze itp.
W ARForms występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.4 włącznie. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji aplikacji.
W ARForms występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 6.4. Problem ten może prowadzić do nieautoryzowanego dostępu do funkcji aplikacji.
Podatność typu 'Path Traversal' w ARForms od reputeinfosystems pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem ten dotyczy wersji ARForms od n/a do 6.4 włącznie.
W podatności CVE-2024-32715 występuje brak autoryzacji w wtyczce Olive One Click Demo Import, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji od n/a do 1.1.1.
Podatność typu 'Path Traversal' w aplikacji Contest Gallery pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Dotyczy to wersji Contest Gallery od n/a do 21.3.4.
W BizPrint, produkcie marki CPF Concepts, LLC, występuje luka związana z brakiem autoryzacji. Problem ten dotyczy wersji od n/a do 4.3.39.
W podatności CVE-2024-35694 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WPMobile.App w wersjach od n/a do 11.41. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
W podatności CVE-2024-35693 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji AA Web Servant 12 Step Meeting List w wersjach od n/a do 3.14.33 włącznie.
Podatność CVE-2024-35679 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce GiveWP w wersjach od n/a do 3.12.0. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
fprintd w wersji do 1.94.3 nie posiada mechanizmu uwagi bezpieczeństwa, co może prowadzić do nieautoryzowanych działań przez 'auth sufficient pam_fprintd.so' w Sudo. Dostawca kwestionuje ten problem, twierdząc, że rozwiązanie wymagałoby zmiany konfiguracji PAM, a nie samego pam_fprintd.so lub fprintd.
Wtyczka SKT Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez widżety Age Gate i Creative Slider we wszystkich wersjach do 2.0 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych dla atrybutów dostarczanych przez użytkowników. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współpracownika i wyżej wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS