Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W MISP przed wersją 2.4.158 odkryto problem, który pozwala na obejście potwierdzenia hasła w pliku UsersController.php poprzez wykorzystanie nagłówka 'Accept: application/json'.
W MISP przed wersją 2.4.158 odkryto problem związany z XSS w pliku app/Controller/OrganisationsController.php, który występuje w sytuacji z 'dziwną stroną z pojedynczym polem wyboru'.
W MISP przed wersją 2.4.158 odkryto problem związany z XSS w widoku cerebrate. Jeśli jeden administrator wprowadzi URL z javascript: w polu URL, a inny administrator na niego kliknie, może to prowadzić do wykonania nieautoryzowanego skryptu.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywaniem XSS w grafie zdarzeń poprzez nazwę tagu.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w klastrach galaktycznych.
W MISP przed wersją 2.4.158 odkryto problem związany z przechowywanym XSS w polu logowania LinOTP.
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
Podatność w Oracle Java SE oraz Oracle GraalVM Enterprise Edition umożliwia nieautoryzowanemu atakującemu z dostępem do sieci kompromitację tych produktów. Atakujący może uzyskać nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych dostępnych w Oracle Java SE i Oracle GraalVM Enterprise Edition.
Podatność w produkcie Oracle Agile PLM (komponent: Attachments) w wersji 9.3.6. Atakujący z niskimi uprawnieniami może przez HTTP uzyskać nieautoryzowany dostęp do krytycznych danych lub wszystkich danych dostępnych w Oracle Agile PLM. Wskaźnik CVSS 6.5 (wpływ na poufność).
Podatność w produkcie Oracle Application Development Framework (ADF) firmy Oracle Fusion Middleware (komponent ADF Faces) w wersjach 12.2.1.3.0 i 12.2.1.4.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad ADF. CVSS 3.1 Base Score 9.8 (wpływ na poufność, integralność i dostępność).
Wtyczka Simple File List dla WordPressa jest podatna na pobieranie dowolnych plików poprzez parametr eeFile w pliku ~/includes/ee-downloader.php. Brak odpowiednich zabezpieczeń umożliwia nieautoryzowanym atakującym podanie ścieżki do pliku, który zostanie pobrany, w wersjach do 3.2.7 włącznie.
Wtyczka SiteGround Security dla WordPressa jest podatna na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom logować się jako użytkownicy administracyjni. Problem wynika z braku weryfikacji tożsamości w implementacji kodu zapasowego 2FA, który loguje użytkowników po pomyślnym wprowadzeniu.
Wtyczka SiteGround Security dla WordPressa jest podatna na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom zalogować się jako użytkownicy administracyjni. Problem wynika z braku weryfikacji tożsamości podczas początkowej konfiguracji 2FA, co umożliwia nieautoryzowanym użytkownikom skonfigurowanie 2FA dla oczekujących kont.
Liferay Portal 7.3.7, 7.4.0 i 7.4.1 oraz Liferay DXP 7.2 fix pack 13 i 7.3 fix pack 2 nieprawidłowo sprawdzają uprawnienia użytkownika podczas dostępu do listy witryn/grup. Umożliwia to zdalnym uwierzytelnionym użytkownikom podgląd witryn/grup za pomocą interfejsu przypisywania członkostwa w witrynie.
Podatność na atak XSS w selektorze kategorii zasobów modułu Asset w Liferay Portal 7.3.3 do 7.4.0 oraz Liferay DXP 7.3 przed Service Pack 3. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę kategorii zasobu.
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
W bibliotece ncurses w wersji 6.3 przed łatką z 2022-04-16 stwierdzono odczyt poza zakresem i naruszenie segmentacji w funkcji convert_strings w pliku tinfo/read_entry.c biblioteki terminfo.
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
Podatność w usłudze Windows User Profile Service umożliwiająca podniesienie uprawnień. Wymaga uwierzytelnienia lokalnego użytkownika.
Podatność w Microsoft Excel umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę, aby uruchomić złośliwy kod na systemie ofiary.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS