Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczki Envato Elements oraz Template Kit – Import dla WordPressa są podatne na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typu pliku podczas rozpakowywania przesłanych plików Zip. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą przesyłać dowolne pliki, co może prowadzić do zdalnego wykonania kodu.
Wtyczka JetBackup – WP Backup, Migrate & Restore dla WordPressa jest podatna na atak typu Cross-Site Request Forgery w wersjach do 1.3.9 włącznie. Problem wynika z braku walidacji nonce w funkcji backup_guard_get_import_backup(), co umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer podatnej witryny za pomocą sfałszowanego żądania.
Podatność CVE-2022-3760 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji Mia-Med przed wersją 1.0.0.58.
W repozytorium GitHub phpipam/phpipam przed wersją 1.5.2 występuje podatność na atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W WebKit znaleziono podatność, która jest wyzwalana podczas przetwarzania złośliwie spreparowanej treści internetowej i może prowadzić do wykonania dowolnego kodu. Poprawa obsługi pamięci rozwiązuje problemy z uszkodzeniem pamięci.
W QlikView 12.60.2 odkryto podatność na trwały atak XSS w funkcji QvsViewClient. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu, który jest przechowywany na serwerze i wykonywany w przeglądarkach innych użytkowników.
W VICIdial w wersjach 2.14-610c i 2.10-415c wykryto podatność na ataki typu Cross Site Scripting (XSS). Luka umożliwia atakującemu wykonanie dowolnego kodu poprzez parametry w plikach /agc/vicidial.php, agc/vicidial-greay.php oraz /vicidial/KHOMP_admin.php.
W podatności CVE-2023-0979 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w systemie MedData MedDataPACS. Problem dotyczy wersji przed 3 marca 2023 roku.
Podatność CVE-2023-0839 dotyczy niewłaściwej ochrony dla wychodzących komunikatów o błędach i sygnałów alarmowych w oprogramowaniu inSCADA firmy ProMIS Process Co. Umożliwia to przeprowadzenie ataku typu Account Footprinting.
Nieprawidłowe obliczenie rozmiaru bufora w repozytorium GitHub vim/vim przed wersją 9.0.1378.
Przepełnienie bufora na stercie w repozytorium GitHub vim/vim przed wersją 9.0.1376.
W routerze Shenzhen Zhibotong Electronics WBT WE1626 w wersji 21.06.18 wykryto podatność umożliwiającą atakującemu wykonanie dowolnych poleceń poprzez połączenie szeregowe z portem UART.
W routerze ZBT WE1626 wykryto podatność związaną z niebezpiecznymi uprawnieniami, która umożliwia atakującym dostęp do poufnych informacji poprzez interfejs magistrali SPI podłączonej do wyprowadzeń pamięci NAND flash.
W routerze Shenzhen Zhiboton Electronics ZBT WE1626 w wersji 21.06.18 odkryto podatność umożliwiającą eskalację uprawnień. Atakujący może wykorzystać polecenie WGET w punkcie końcowym diagnostyki sieciowej.
Podatność CVE-2023-0578 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie ASOS Information Technologies Book Cites, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji przed 23.01.05.
W podatności CVE-2023-0577 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie SOBIAD, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji SOBIAD przed 23.02.01.
W systemie Maintenance Connection 2021 (wszystkie wersje) i 2022.2 firmy Accruent LLC wykryto podatność na wstrzykiwanie SQL w funkcji E-Mail to Work Order. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych poprzez nieprawidłowo przetworzone dane wejściowe.
Wtyczka Metform Elementor Contact Form Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pola tekstowe w formularzach w wersjach do 3.1.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony, czyli strony z przesyłkami.
W podatności CVE-2021-3854 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co pozwala na atak typu SQL Injection w systemie Glox Technology Useroam Hotspot. Problem dotyczy wersji Useroam Hotspot przed 5.1.0.15.
W routerze Jensen of Scandinavia Eagle 1200AC w wersji oprogramowania V15.03.06.33_en odkryto przepełnienie stosu przez parametr wepkey1 w skrypcie /goform/WifiBasicSet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS