Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Domyślna konfiguracja Crimson 3.1 (wersje kompilacji przed 3119.001) pozwala użytkownikowi na odczyt i modyfikację bazy danych bez uwierzytelnienia.
Zmiana wprowadzona w Apache Flink 1.11.0 pozwala atakującemu na odczyt dowolnego pliku z lokalnego systemu plików JobManagera poprzez interfejs REST. Dostęp ograniczony jest do plików, do których proces JobManagera ma uprawnienia. Problem naprawiono w wersjach 1.11.3 i 1.12.0.
Wtyczka Divi Builder oraz motywy Divi i Divi Extra przed wersją 4.5.3 dla WordPressa mają lukę, która pozwala uwierzytelnionym atakującym z uprawnieniami co najmniej na poziomie współpracownika na przesyłanie dowolnych plików, w tym plików .php. Problem wynika z tego, że sprawdzenie rozszerzeń plików odbywa się po stronie klienta.
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 wykryto podatność na atak XSS w panelu administratora. Atakujący może wstrzyknąć złośliwy kod JavaScript w pole 'Pełna nazwa administratora', który uruchamia się przy każdej wizycie administratora na stronie profilu.
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 występuje podatność na atak XSS w panelu administracyjnym w zakładce Zarządzanie użytkownikami. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu Pełna nazwa podczas rejestracji użytkownika, który wykona się przy każdej wizycie administratora w tej zakładce.
W systemie rejestracji i logowania użytkowników EGavilanMedia z panelem administracyjnym w wersji 1.0 występuje podatność na wstrzykiwanie SQL na stronie logowania użytkownika. Atakujący może manipulować danymi wejściowymi, aby wykonać nieautoryzowane zapytania do bazy danych.
W Invision Community 4.5.4 występuje podatność na atak XSS w polu nazwy pola (Field Name). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się przy każdym otwarciu tego pola przez użytkownika.
API SolarWinds Orion jest podatne na obejście uwierzytelniania, co może pozwolić zdalnemu atakującemu na wykonywanie poleceń API. Luka dotyczy wersji SolarWinds Orion Platform 2019.4 HF 5, 2020.2 bez zainstalowanej poprawki oraz 2020.2 HF 1.
W Roundcube Webmail przed wersjami 1.2.13, 1.3.x przed 1.3.16 i 1.4.x przed 1.4.10 odkryto problem XSS. Atakujący może wysłać wiadomość e-mail w formacie plain text z JavaScriptem w elemencie referencji linku, który jest nieprawidłowo obsługiwany przez linkref_addindex w rcube_string_replacer.php.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 niewłaściwie obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (znanym jako osadzony Xalan w org.glassfish.web/javax.servlet.jsp.jstl).
WonderCMS 3.1.3 zawiera podatność na cross-site scripting (XSS) w panelu administracyjnym. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu słów kluczowych strony, który wykona się przy każdej wizycie użytkownika na stronie, umożliwiając kradzież ciasteczek sesyjnych.
Podatność w TerraMaster TOS w wersji 4.2.06 i wcześniejszych umożliwia zdalnym, uwierzytelnionym atakującym ominięcie ograniczenia tylko do odczytu i uzyskanie pełnego dostępu do dowolnego folderu na NAS.
Firmware w wersji 4.60 urządzeń Zyxel USG zawiera nieudokumentowane konto (zyfwp) z niezmienialnym hasłem. Hasło do tego konta znajduje się w postaci jawnej w firmware. Konto to może być użyte do logowania się przez SSH lub interfejs webowy z uprawnieniami administratora.
W aplikacji EgavilanMedia ECM Address Book 1.0 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu ominięcie panelu logowania administratora i uzyskanie pełnego dostępu administracyjnego.
W CoasterCMS w wersji 5.8.18 występuje podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wykraść ciasteczko sesji użytkownika i przekierować go na złośliwą stronę, ponieważ podatność jest wyzwalana na stronie głównej aplikacji.
W DotCMS w wersji 20.11 w panelu administracyjnym dodawania szablonów występuje podatność na trwały atak XSS. Umożliwia ona atakującemu przejęcie sesji użytkownika poprzez kradzież ciasteczek i eskalację uprawnień.
Podatność CSRF w systemie rejestracji i logowania użytkowników EgavilanMedia w wersji 1.0 umożliwia atakującemu zdalne podniesienie uprawnień w panelu profilu użytkownika. Atakujący może zaktualizować konto dowolnego użytkownika bez jego wiedzy.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.datasources.SharedPoolDataSource.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.datasources.PerUserPoolDataSource.
Wersje curl od 7.21.0 do 7.73.0 są podatne na niekontrolowaną rekurencję z powodu problemu z przepełnieniem stosu podczas analizy dopasowania dzikich kart w FTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS