Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony internetowej (cross-site scripting) w Microsoft Office SharePoint umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku polegającego na podszywaniu się w sieci.
Ujawnienie niebezpiecznej metody lub funkcji w Azure Confidential Ledger umożliwia autoryzowanemu atakującemu wykonanie kodu w sieci.
Brak autoryzacji w Microsoft Teams umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
Brak uwierzytelnienia dla krytycznej funkcji w Microsoft Planetary Computer Pro umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
Nieprawidłowe uwierzytelnienie w Microsoft Teams umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.
Nieprawidłowa weryfikacja podpisu kryptograficznego w Microsoft 365 Admin Center umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
Brak autoryzacji w Azure SRE Agent umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.
Nieprawidłowa autoryzacja w Copilot Cowork umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
Podatność w usłudze Microsoft Entra Provisioning Service (SyncFabric) umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci poprzez użycie sekwencji '.../...//'.
Nieprawidłowe uwierzytelnianie w Azure SQL Database umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
Niewłaściwa kontrola dostępu w Azure Logic Apps umożliwia autoryzowanemu atakującemu ujawnienie informacji w sieci.
Deserializacja niezaufanych danych w Azure Service Bus umożliwia autoryzowanemu atakującemu wykonanie kodu w sieci.
Modyfikacja danych uznawanych za niezmienne (MAID) w Azure Active Directory umożliwia autoryzowanemu atakującemu podniesienie uprawnień w sieci.
Podatność w Dinky pozwala nieuwierzytelnionemu atakującemu na zapis dowolnych plików na serwerze poprzez endpoint /download/uploadFromRsByLocal. Brak walidacji ścieżki oraz domyślny, zaszyty na stałe token umożliwiają nadpisanie plików aplikacji i wykonanie kodu w kontekście usługi Dinky.
Podatność SQL Injection w FineAdmin V1.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametry `field` i `order` w punktach końcowych listy paginowanej.
System ICS-Park Smart Park Management System v2.0 zawiera podatność nieograniczonego przesyłania plików w module przesyłania plików, co pozwala zdalnemu atakującemu na wykonanie dowolnego kodu.
Podatność w Flowise (do wersji 3.1.4) w integracji OpenAI Assistants pozwala uwierzytelnionym atakującym na dostęp do danych uwierzytelniających innych obszarów roboczych poprzez podanie dowolnego UUID poświadczeń bez weryfikacji własności obszaru roboczego.
Problem z uwierzytelnianiem został rozwiązany poprzez poprawę zarządzania stanem. Problem dotyczy macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 oraz macOS Tahoe 26.6.1. Atakujący w sieci może uwierzytelnić się do funkcji Udostępnianie ekranu bez ważnych poświadczeń.
Podatność w Ground Station (przed wersją 0.6.0) pozwala nieuwierzytelnionym atakującym na zniszczenie lub podmianę całej bazy danych SQLite poprzez wysłanie komendy full_restore do serwera Socket.IO na porcie 7000. Brak uwierzytelniania i polisa CORS typu wildcard umożliwiają zdalne wykonanie.
Przed wersją 1.0.4 oprogramowania OpenReception do rezerwacji wizyt, nieuwierzytelniony atakujący mógł przechowywać własne klucze publiczne ML-KEM-768 dla dowolnego najemcy, bez logowania. Nawet bez ciasteczka sesji lub rejestracji, żądanie POST do /api/tenants/{tenantId}/staff/{staffId}/crypto zapisywało klucz, a wariant z pominięciem pola email całkowicie ukrywał ostrzeżenie o nieautoryzowanej próbie. To łamie deklarację szyfrowania end-to-end, ponieważ atakujący staje się dodatkowym odbiorcą szyfrowania przyszłych wizyt pacjentów.