Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Bitwarden Desktop w wersji 2023.7.0 i wcześniejszych pozwala atakującemu z lokalnym dostępem na uzyskanie wrażliwych informacji poprzez proces Bitwarden.exe.
W podatności CVE-2023-35082 w Ivanti EPMM 11.10 i starszych wersjach, występuje możliwość ominięcia uwierzytelnienia, co pozwala nieautoryzowanym użytkownikom uzyskać dostęp do zastrzeżonej funkcjonalności lub zasobów aplikacji bez odpowiedniego uwierzytelnienia.
W phpRecDB w wersji 1.3.1 zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem r/view w pliku /index.php. Problem został oceniony jako problematyczny.
Wtyczka InfiniteWP Client dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 1.11.1 włącznie, poprzez funkcję 'admin_notice'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej wydobycie wrażliwych danych, w tym konfiguracji.
Wtyczka User Submitted Posts dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'user-submitted-content' w wersjach do 20230809 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.
W repozytorium GitHub librenms/librenms przed wersją 23.8.0 występuje podatność na atak Cross-site Scripting (XSS) typu reflected.
Luka została naprawiona poprzez ulepszone sprawdzanie granic. Problem występuje w tvOS 15.6, watchOS 8.7, iOS 15.6 i iPadOS 15.6, macOS Monterey 12.5, Safari 15.6. Przetwarzanie treści internetowych może prowadzić do wykonania dowolnego kodu.
LiteSpeed OpenLiteSpeed w wersjach przed 1.7.18 nie przeprowadza ścisłej walidacji nagłówków żądań HTTP.
W metodzie checkDebuggingDisallowed w pliku DeviceVersionFragment.java istnieje możliwość dostępu do adb przed zakończeniem SUW z powodu niebezpiecznej wartości domyślnej. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.
PrivateUploader to serwer hostingu obrazów, który w dotkniętych wersjach nieprawidłowo weryfikował, czy użytkownik jest administratorem lub moderatorem. To prowadziło do przetwarzania żądań, mimo że odpowiedź wskazywała na brak uprawnień.
SVG Loader to biblioteka JavaScript, która pobiera pliki SVG i wstrzykuje ich kod do dokumentu. Logika sanitizacji wejścia nie jest wystarczająca, co pozwala atakującemu na stworzenie złośliwego SVG, prowadzącego do ataku typu Cross-site Scripting (XSS).
Podatność w efibootguard wynika z niewystarczającej walidacji i sanitizacji danych wejściowych z niezaufanych plików środowiskowych bootloadera, co może prowadzić do awarii oraz potencjalnych wstrzyknięć kodu. Problem ten występuje podczas próby modyfikacji zmanipulowanego środowiska, szczególnie zmiennych użytkownika.
W urządzeniu Tenda A18 w wersji V15.13.07.09 odkryto podatność na przepełnienie stosu, która występuje w parametrze wpapsk_crypto2_4g w funkcji fromSetWirelessRepeat.
W urządzeniu Tenda A18 w wersji V15.13.07.09 odkryto podatność na przepełnienie stosu, która występuje w funkcji formWifiBasicSet poprzez parametr bezpieczeństwa.
W urządzeniu Tenda A18 w wersji V15.13.07.09 odkryto podatność na przepełnienie stosu poprzez parametr rule_info w funkcji formAddMacfilterRule.
Svelecte to elastyczny komponent autouzupełniania/wyboru napisany w Svelte, który renderuje nazwy elementów jako surowy HTML bez ucieczki. To umożliwia wstrzykiwanie dowolnego HTML do rozwijanego menu Svelecte, co może prowadzić do wykonania dowolnego JavaScriptu przy otwieraniu menu.
W ScanCode.io, w punkcie końcowym `/license/`, klucz widoku szczegółowego nie jest odpowiednio walidowany i oczyszczany, co może prowadzić do podatności na ataki typu cross-site scripting (XSS). Atakujący mogą wykorzystać tę lukę do wstrzykiwania złośliwych skryptów, które będą wykonywane w przeglądarkach użytkowników.
W silniku Yak występuje podatność na lokalne włączenie plików (LFI), która pozwala atakującym na włączenie plików z lokalnego systemu plików serwera przez aplikację webową. Wykorzystanie tej podatności może prowadzić do niezamierzonego ujawnienia wrażliwych danych lub potencjalnego zdalnego wykonania kodu.
Wtyczka WP-EMail dla WordPressa w wersjach przed 2.69.1 nie sanitizuje i nie ucieka niektórych swoich ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.
Wtyczka Contact Form Builder autorstwa Bit Form dla WordPressa przed wersją 2.2.0 nie sanitizuje i nie ucieka niektórych swoich ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS