Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2024-22162 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WPZOOM Shortcodes, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.0.3.
Podatność CVE-2024-22160 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Image Tag Manager, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Image Tag Manager od n/a do 1.5.
Podatność typu Server-Side Request Forgery (SSRF) w komponencie SAML produktów Ivanti Connect Secure, Ivanti Policy Secure i Ivanti Neurons for ZTA. Umożliwia atakującemu dostęp do niektórych ograniczonych zasobów bez uwierzytelnienia.
W podatności CVE-2024-22307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP-Lister Lite dla eBay. Problem dotyczy wersji od n/a do 3.5.7 włącznie.
Podatność CVE-2024-23508 dotyczy wtyczki PDF Poster – PDF Embedder dla WordPress, która ma problem z niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.1.17.
W podatności CVE-2024-22140 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Cozmoslabs Profile Builder Pro. Dotyczy to wersji Profile Builder Pro od n/a do 3.10.0.
W bibliotece glibc wykryto błąd przepełnienia bufora w stercie, związany z funkcją __vsyslog_internal. Problem występuje, gdy funkcje syslog i vsyslog są wywoływane z wiadomością większą niż INT_MAX bajtów, co prowadzi do błędnego obliczenia rozmiaru bufora i w efekcie do awarii aplikacji.
W bibliotece glibc wykryto przepełnienie bufora oparte na stercie w funkcji __vsyslog_internal. Problem występuje, gdy funkcja openlog nie została wywołana lub została wywołana z argumentem ident ustawionym na NULL, a nazwa programu przekracza 1024 bajty, co prowadzi do awarii aplikacji lub eskalacji uprawnień lokalnych.
Podatność use-after-free w komponencie netfilter: nf_tables jądra Linux może być wykorzystana do lokalnej eskalacji uprawnień. Funkcja nft_verdict_init() pozwala na dodatnie wartości jako błąd drop w werdykcie haka, co może prowadzić do podwójnego zwolnienia pamięci w nf_hook_slow().
W podatności CVE-2024-23507 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w InstaWP Connect. Problem dotyczy wersji od n/a do 0.1.0.9 włącznie.
W podatności CVE-2024-22305 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w budowniczym formularzy kontaktowych Kali Forms dla WordPress. Problem ten dotyczy wersji od n/a do 2.3.36.
W podatności CVE-2024-22290 występuje problem Cross-Site Request Forgery (CSRF) w niestandardowych widgetach dashboardu AboZain, O7abeeb oraz UnitOne, co umożliwia atak Cross-Site Scripting (XSS). Dotyczy to widgetów od wersji n/a do 1.3.1.
Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Better Anchor Links autorstwa Ludka Melichara umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji wtyczki od n/a do 1.7.5.
Podatność typu przepełnienie całkowitej liczby w Mbed TLS w wersjach 2.x przed 2.28.7 oraz 3.x przed 3.5.2 umożliwia atakującym spowodowanie odmowy usługi (DoS) poprzez funkcję mbedtls_x509_set_extension().
W Mbed TLS w wersjach 2.x przed 2.28.7 oraz 3.x przed 3.5.2 odkryto problem związany z czasowym kanałem bocznym w operacjach prywatnych RSA. Taki kanał boczny może umożliwić lokalnemu atakującemu odzyskanie tekstu jawnego.
Wtyczka Contact Form Entries dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji plików w funkcji 'view_page' w wersjach do 1.3.2 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi przesyłanie dowolnych plików na serwerze dotkniętej witryny.
Podatność w pakiecie network przed wersją 0.7.0 umożliwia zdalne wykonanie dowolnych poleceń systemowych. Funkcja mac_address_for nie oczyszcza danych wejściowych, co pozwala atakującemu na wstrzyknięcie komend przez child_process exec.
Wtyczka Woostify Sites Library dla WordPressa w wersjach przed 1.4.8 nie posiada autoryzacji w akcji AJAX, co pozwala na to, aby każdy uwierzytelniony użytkownik, taki jak subskrybent, mógł aktualizować dowolne opcje bloga i ustawiać je na 'aktywowane'. Może to prowadzić do ataku typu DoS przy użyciu określonej nazwy opcji.
W Shim dla systemów 32-bitowych odkryto przepełnienie bufora sterty. Błąd wynika z operacji dodawania na wartości kontrolowanej przez użytkownika, pochodzącej z pliku PE, która jest używana do alokacji pamięci. Prowadzi to do uszkodzenia pamięci i może spowodować awarię lub problemy z integralnością danych podczas fazy rozruchu.
Podatność zdalnego wykonania poleceń w systemie E-DDC3.3 firmy SE-elektronic GmbH dotyczy wersji 03.07.03 i nowszych. Atakujący może wysyłać polecenia systemu operacyjnego do urządzenia poprzez funkcję konfiguracji webowej.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS