Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W GNU LibreDWG do wersji 0.14 wykryto podatność w funkcji read_2004_compressed_section pliku src/decode.c w komponencie Dwgbmp Utility. Manipulacja może prowadzić do odczytu poza zakresem pamięci. Atak wymaga dostępu lokalnego.
W GNU LibreDWG do wersji 0.14 wykryto podatność w funkcji match_BLOCK_HEADER pliku dwggrep.c w komponencie Dwggrep Utility. Manipulacja prowadzi do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego.
Moduł GDPR cookies dla Backdrop CMS przed wersją 1.x-1.3.5 nie chroni wystarczająco odwiedzających przed atakami Cross Site Scripting (XSS), jeśli dla opcjonalnego pola 'Info content' usługi YouTube podano złośliwą wartość. Atak jest możliwy tylko wtedy, gdy osoba atakująca ma rolę z uprawnieniem do tworzenia lub edycji usług GDPR Cookies, a strona musi mieć skonfigurowaną usługę YouTube.
W narzędziu Dwggrep Utility biblioteki GNU LibreDWG do wersji 0.14 wykryto słabość w funkcji bit_convert_TU pliku programs/dwggrep.c. Manipulacja tą funkcją prowadzi do odczytu poza dozwolonym zakresem pamięci. Atak wymaga dostępu lokalnego, a exploit został upubliczniony.
W GNU LibreDWG do wersji 0.14 wykryto podatność w funkcji dwg_next_entity pliku src/decode.c w komponencie DWG File Handler. Manipulacja prowadzi do wyłuskania wskaźnika null. Atak wymaga dostępu lokalnego.
W GNU LibreDWG do wersji 0.14 wykryto podatność w funkcji decompress_R2004_section pliku src/decode.c w komponencie Dwgread Utility. Manipulacja może prowadzić do osiągalnego asercji. Atak wymaga dostępu lokalnego.
W PuTTY w wersjach od 0.71 do 0.83 występuje błąd asercji podczas weryfikacji podpisu ECDSA. Problem został naprawiony w wersji 0.84.
W kliencie PuTTY w wersjach 0.77 do 0.83 wykryto, że ikona PuTTY jest używana jako wskaźnik zaufania dla danych TELNET, ale stan zaufania nie jest resetowany między uwierzytelnianiem proxy a sesją główną.
PuTTY w wersjach od 0.72 do przed 0.84 zawiera podwójne zwolnienie pamięci (double free) w obsłudze wymiany kluczy RSA (RSA KEX).
W SourceCodester Student Grades Management System 1.0 wykryto podatność XSS w pliku students.php poprzez manipulację argumentem Remarks. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 umożliwia przedautoryzacyjne usunięcie dowolnego pliku poprzez zatrucie sesji Redis/Memcache.
W projekcie StudentManagementSystem (commit cb2f558d) wykryto podatność XSS w pliku /student.php poprzez manipulację argumentem FIRST_NAME. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.
W systemie SourceCodester Indian Invoicing System do wersji 1.0 w pliku /Invoicing/add_order.php w komponencie Invoice Template Render Database-Backed występuje podatność na atak XSS poprzez manipulację argumentem customer_name. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
W systemie SPIP przed wersją 4.4.15 w pliku action/cookie.php w katalogu ecrire występuje podatność na otwarte przekierowanie (open redirect).
W stacji ładowania Besen BS20 do wersji 20260426 wykryto podatność w komponencie BLE/WiFi. Manipulacja umożliwia obejście uwierzytelnienia przez atak typu przechwyć-odegraj (capture-replay). Atak wymaga dostępu do sieci lokalnej i jest trudny do przeprowadzenia.
W stacji ładowania pojazdów elektrycznych Besen BS20 do wersji 20260426 odkryto lukę w funkcji sprawdzania wersji firmware'u. Manipulacja prowadzi do nieprawidłowego ograniczenia warstw interfejsu użytkownika. Atak jest zdalny, ale wymaga wysokiego poziomu złożoności.
W stacji ładowania Besen BS20 EV do wersji 20260426, nieznana funkcja komponentu BLE/UDP prowadzi do niedostatecznej ochrony poświadczeń. Atak wymaga dostępu do sieci lokalnej.
W stacji ładowania Besen BS20 EV Charging Station do wersji 20260426 w komponencie Bluetooth Low Energy Handler występuje podatność prowadząca do słabych wymagań dotyczących hasła. Atak wymaga dostępu do sieci lokalnej i jest trudny do przeprowadzenia.
W systemie SUP Online Shopping wersji 1.0 stwierdzono podatność XSS w pliku /admin/productedit.php. Manipulacja argumentem productName umożliwia zdalne wstrzyknięcie skryptów. Exploit jest publicznie dostępny.
W JeecgBoot 3.9.1 w komponencie OpenAPI Endpoint w pliku /openapi/call/ występuje podatność na nieprawidłowe uwierzytelnienie. Atak zdalny o wysokiej złożoności, vendor nie odpowiedział.