Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność naprawiona poprzez poprawę kontroli zakresów. Zdalny atakujący może wydostać się z piaskownicy Web Content. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany.
Podatność use-after-free naprawiona poprzez poprawę zarządzania pamięcią. Przetwarzanie złośliwie spreparowanych treści internetowych może prowadzić do wykonania dowolnego kodu. Apple wie o raporcie, że problem mógł być aktywnie wykorzystywany.
Podatność typu out-of-bounds read została naprawiona poprzez ulepszoną walidację danych wejściowych. Problem występuje w watchOS 9.5, tvOS 16.5, macOS Ventura 13.4, iOS 15.7.6 i iPadOS 15.7.6, Safari 16.5, iOS 16.5 i iPadOS 16.5. Przetwarzanie treści internetowych może ujawnić poufne informacje. Apple wie o raportach, że ta podatność mogła być aktywnie wykorzystywana.
XWiki Platform, od wersji 12.9-rc-1 do 14.4.8, 14.10.6 i 15.1, pozwala zalogowanym użytkownikom na dodawanie niebezpiecznych treści w polu imienia, co prowadzi do eskalacji uprawnień. Podatność została naprawiona w wersjach 14.4.8, 14.10.6 i 15.1.
XWiki Platform, od wersji 7.3-milestone-1 do wersji 14.4.8, 14.10.6 i 15.1, pozwala na dostęp do obfuskowanych haseł przez REST API, nawet gdy obfuskacja e-maili jest aktywna. Problem został naprawiony w wersjach 14.4.8, 14.10.6 i 15.1.
XWiki Platform, popularna platforma wiki, ma lukę, która pozwala użytkownikom z prawami do przeglądania dokumentów na wykonanie kodu z prawami programistycznymi. Wersje od 2.40m-2 do przed 14.4.8, 14.10.4 i 15.0 są podatne na zdalne wykonanie kodu poprzez odpowiednio skonstruowany URL.
W platformie XWiki wystąpiła podatność związana z konfiguracją obfuskacji adresów e-mail. W wersjach od 3.5-milestone-1 do 14.4.8, 14.10.4 oraz 15.0-rc-1, odpowiedzi serwera zawierały nieobfuskowane adresy e-mail, co umożliwiało ich odczytanie przez użytkowników.
W systemie zarządzania zasobami ludzkimi SourceCodester w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem employeeid w pliku detailview.php prowadzi do wstrzyknięcia SQL.
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika i podszycie się pod tego użytkownika za pomocą parametru kontrolera POST.
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
Podatność w FastAsyncWorldEdit (FAWE) pozwala atakującemu na wybór obszaru z użyciem słowa kluczowego `Infinity`, co umożliwia wykonanie dowolnej operacji. Może to doprowadzić do awarii serwera.
Platforma XWiki ma podatność, która pozwala na ujawnienie tagów z stron, które nie są widoczne dla bieżącego użytkownika, poprzez API tagów. Ta informacja może być wykorzystana do wnioskowania o odniesieniu do dokumentów, które są niedostępne dla użytkownika.
W XWiki Platform, od wersji 11.8-rc-1 do 14.4.8, 14.10.6 i 15.2, każdy zalogowany użytkownik może edytować konfigurację `Mail.MailConfig`. To pozwala na zmianę konfiguracji obfuskacji maili oraz przeglądanie i edytowanie ustawień wysyłania maili, w tym nazwy domeny SMTP i poświadczeń.
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
W Webkul QloApps w wersji 1.6.0 zidentyfikowano podatność typu Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może uzyskać ciasteczko sesji użytkownika i podszyć się pod tego użytkownika za pomocą parametru GET.
W wersjach LibreDWG od 0.11 do 0.12.5 odkryto przepełnienie bufora na stercie w funkcji bit_write_TF w pliku bits.c.
W wersji 0.12.5 LibreDWG odkryto podatność typu przepełnienie bufora na stercie w funkcji bit_calc_CRC w pliku bits.c.
W wersjach LibreDWG od 0.10 do 0.12.5 odkryto podatność na przepełnienie bufora w stercie w funkcji bit_utf8_to_TU w pliku bits.c.
W wersjach LibreDWG od 0.10 do 0.12.5 odkryto podatność na przepełnienie bufora w stercie w funkcji bit_wcs2nlen w pliku bits.c.
XWiki Platform w wersjach od 2.2.1 do 14.4.8, 14.10.5 oraz 15.1RC1 jest podatna na atak typu stored cross-site scripting (XSS). Użytkownicy mogą wprowadzać kod HTML do dokumentów, co pozwala na wykonanie nieautoryzowanych działań przez innych użytkowników, którzy odwiedzą te dokumenty.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS