Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2023-1462 dotyczy systemu Vadi Corporate Information Systems DigiKent i pozwala na obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem ten występuje w wersjach przed 23.03.20.
Podatność CVE-2023-0320 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie UBYS Uniwersytetu Izmira Katip Celebi. Umożliwia to atak typu Stored XSS w wersjach przed 23.03.16.
W pliku js/event-graph.js w MISP przed wersją 2.4.169 występuje podatność na atak XSS poprzez podpowiedź relacji w wykresie zdarzeń.
W pliku js/event-graph.js w MISP przed wersją 2.4.169 występuje podatność na atak XSS poprzez podpowiedzi narzędzi węzłów wykresu zdarzeń.
Wtyczka WP Popup Banners dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'banner_id' w wersjach do 1.2.5 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z minimalnymi uprawnieniami, takim jak subskrybent, dodawanie dodatkowych zapytań SQL do już istniejących zapytań.
W podatności CVE-2023-1152 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Persolus firmy Utarit Information Technologies. Problem dotyczy wersji Persolus przed 2.03.93.
Podatność w ssh-add w OpenSSH przed wersją 9.3 powoduje dodawanie kluczy z kart inteligentnych do ssh-agent bez wymaganych ograniczeń docelowych dla poszczególnych skoków. Problem dotyczy wersji od 8.9.
W bibliotece Liblouis w wersji 3.24.0 wykryto podatność na przepełnienie bufora. Błąd występuje w funkcji resolveSubtable w pliku compileTranslationTabel.c i może być wykorzystany zdalnie.
W systemie zamówień online SourceCodester w wersji 2.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /fos/admin/ajax.php?action=save_settings w komponencie obsługi żądań POST, co prowadzi do niewłaściwych kontroli dostępu.
Podatność na wstrzyknięcie polecenia systemowego w D-Link DIR820LA1_FW105B03 pozwala atakującym na eskalację uprawnień do roota poprzez spreparowany ładunek z parametrem ping_addr w ping.ccp.
Array Networks Array AG Series i vxAG (9.4.0.481 i wcześniejsze) pozwalają na zdalne wykonanie kodu. Atakujący może przeglądać system plików na bramie SSL VPN, używając atrybutu flags w nagłówku HTTP bez uwierzytelnienia. Produkt może być następnie wykorzystany przez podatny URL.
Firmware TP-Link Archer AX21 (AX1800) w wersjach przed 1.1.4 Build 20230219 zawiera podatność na wstrzyknięcie poleceń w formularzu kraju w punkcie końcowym /cgi-bin/luci;stok=/locale interfejsu zarządzania siecią. Parametr kraju operacji zapisu nie był sanityzowany przed użyciem w wywołaniu popen(), co pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie poleceń wykonywanych jako root za pomocą prostego żądania POST.
Podatność CVE-2023-0322 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Talent Software UNIS, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji UNIS przed 28376.
Podatność w Windows SmartScreen pozwala na obejście funkcji bezpieczeństwa. Szczegóły nie są podane w opisie.
Podatność w Microsoft Excel umożliwia oszustwo, które może prowadzić do nieautoryzowanego dostępu do danych użytkownika. Atakujący może wykorzystać tę lukę, aby wprowadzić użytkownika w błąd i skłonić go do otwarcia złośliwego pliku.
Podatność na eskalację uprawnień w Microsoft Outlook. Szczegóły techniczne nie zostały podane w opisie.
Wtyczka WP Statistics od VeronaLabs w wersjach do 13.2.10 zawiera podatność na atak typu SQL Injection. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.
Podatność CVE-2022-31474 dotyczy wtyczki iThemes BackupBuddy, która pozwala na atak typu 'Path Traversal'. Problem ten występuje w wersjach od 8.5.8.0 do 8.7.4.1.
Wtyczka WH Testimonials dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez kilka parametrów, takich jak wh_homepage, wh_text_short, wh_text_full, w wersjach do 3.0.0 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.
Podatność w komponencie Veeam Backup & Replication pozwala na uzyskanie zaszyfrowanych poświadczeń przechowywanych w bazie danych konfiguracji. Może to prowadzić do uzyskania dostępu do hostów infrastruktury backupowej.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS