Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka RSVPMaker dla WordPressa jest podatna na nieautoryzowaną injekcję SQL z powodu braku odpowiedniego zabezpieczenia i parametryzacji danych dostarczanych przez użytkowników w zapytaniach SQL w pliku rsvpmaker-util.php. Atakujący mogą uzyskać dostęp do wrażliwych informacji z bazy danych w wersjach do 9.2.5 włącznie.
Wtyczka Metform dla WordPressa jest podatna na ujawnienie wrażliwych informacji z powodu niewłaściwej kontroli dostępu w pliku ~/core/forms/action.php. Atakujący bez uwierzytelnienia może wykorzystać tę lukę, aby uzyskać dostęp do wszystkich kluczy API i sekretów zintegrowanych zewnętrznych API, takich jak PayPal, Stripe, Mailchimp, Hubspot, HelpScout, reCAPTCHA i inne, w wersjach do 2.1.3 włącznie.
Wtyczka LMS Doctor Simple 2 Factor Authentication dla Moodle w wersji 2021072900 zawiera podatność IDOR (Insecure Direct Object Reference). Umożliwia ona zdalnemu atakującemu modyfikację wrażliwych danych, takich jak adres e-mail, hasło i numer telefonu innych kont użytkowników.
Brak walidacji danych wejściowych w SMM może umożliwić atakującemu stworzenie błędu, który pozostawia aplikację DRTM UApp w częściowo zainicjowanym stanie, co może prowadzić do utraty integralności pamięci.
Routery TP-Link TL-WDR7660 (wersja 2.0.30), Mercury D196G (20200109_2.0.4) i Fast FAC1900R (20190827_2.0.2) zawierają podatność przepełnienia stosu w funkcji `MntAte`. Lokalny użytkownik może zdalnie wykonać kod.
W routerach TP-Link TL-WDR7660, Mercury D196G i Fast FAC1900R wykryto przepełnienie stosu w funkcji `MmtAtePrase`. Lokalny użytkownik może zdalnie wykonać kod.
W systemie Employee Daily Task Management System 1.0 odkryto podatność na trwałe XSS w formularzu dodawania nowego pracownika. Atakujący może wstrzyknąć i przechować dowolny kod JavaScript w polu nazwy, który zostanie wykonany przy przeglądaniu danych.
W urządzeniu Galleon NTS-6002-GPS 4.14.103-Galleon-NTS-6002.V12 4 zidentyfikowano problem związany z wstrzykiwaniem poleceń przez uwierzytelnionego atakującego. Atakujący może wykorzystać metaznaki powłoki w sekcji Narzędzia sieciowe interfejsu zarządzania webowego, co dotyczy wszystkich trzech narzędzi sieciowych: Ping, Traceroute i DNS Lookup.
RARLAB UnRAR przed wersją 6.12 na Linux i UNIX pozwala na przejście do katalogów (directory traversal) podczas operacji wypakowywania, co umożliwia zapis do plików, na przykład utworzenie pliku ~/.ssh/authorized_keys. Uwaga: WinRAR i Android RAR nie są dotknięte.
Argo Workflows to otwartoźródłowy silnik do orkiestracji równoległych zadań w Kubernetes. W podatnych wersjach atakujący może stworzyć workflow, który generuje artefakt HTML zawierający skrypt wykorzystujący wywołania XHR do interakcji z API Argo Server, co może prowadzić do nieautoryzowanego dostępu do informacji o workflow ofiary.
W F5 BIG-IP w wersjach 16.1.x przed 16.1.2.2, 15.1.x przed 15.1.5.1, 14.1.x przed 14.1.4.6, 13.1.x przed 13.1.5 oraz wszystkich wersjach 12.1.x i 11.6.x, nieujawnione żądania mogą ominąć uwierzytelnianie iControl REST. Umożliwia to atakującemu dostęp do interfejsu zarządzania bez uwierzytelnienia.
Podatność typu directory traversal w oprogramowaniu sprzętowym Bookeen Notea BK_R_1.0.5_20210608 umożliwia atakującemu dostęp do poufnych informacji poprzez manipulację ścieżkami plików.
Podatność na dowolne przesyłanie plików w Web@rchiv 1.0 umożliwia atakującym wykonanie dowolnych poleceń poprzez spreparowany plik PHP.
W systemie Doctor's Appointment System 1.0 od Sourcecodester wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku jako obrazu z panelu administratora. Atakujący może uzyskać pełną kontrolę nad serwerem, znając jedynie ścieżkę przechowywania przesłanych plików.
W nopCommerce 4.50.1 wykryto podatność na otwarte przekierowanie (open redirect). Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do uwierzytelnienia na stronie nopCommerce i przekierowania na zewnętrzną, złośliwą witrynę.
W routerach Ruijie RG-EW Series z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE) w funkcji updateVersion w skrypcie /cgi-bin/luci/api/wireless. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad urządzeniem bez autoryzacji.
W routerach Ruijie RG-EW Series z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE). Luka znajduje się w funkcji checkNet w skrypcie /cgi-bin/luci/api/auth.
W routerach Ruijie RG-EW z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE) w funkcji runPackDiagnose w skrypcie /cgi-bin/luci/api/diagnose. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na urządzeniu.
W routerach Ruijie RG-EW Series z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE) przez funkcję doSwitchApi w skrypcie /cgi-bin/luci/api/switch. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na urządzeniu.
W routerach Ruijie RG-EW z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE) przez funkcję switchFastDhcp w skrypcie /cgi-bin/luci/api/diagnose. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na urządzeniu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS