Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
TDengine to otwartoźródłowa baza danych zoptymalizowana dla urządzeń Internetu Rzeczy. Przed wersją 3.0.7.1, baza danych TDengine ulegała awarii podczas wykonywania zagnieżdżonych zapytań UDF.
Oprogramowanie serwera plików copyparty przed wersją 1.8.7 zawiera podatność na refleksyjny atak XSS poprzez parametry URL `?k304=...` oraz `?setck=...`. Może to prowadzić do przenoszenia lub usuwania istniejących plików na serwerze, a także do przesyłania nowych plików, wykorzystując konto osoby, która kliknie złośliwy link.
Apptainer to otwartoźródłowa platforma kontenerowa. W wersji 1.2.0-rc.2 wprowadzono nieskuteczne obniżenie uprawnień podczas żądania konfiguracji sieci kontenera, co pozwala na wykonywanie kolejnych funkcji z uprawnieniami roota.
TYPO3 HTML Sanitizer, narzędzie do sanitizacji HTML, ma problem z kodowaniem w warstwie serializacji, co pozwala na niepoprawne kodowanie złośliwego kodu osadzonego w elemencie `noscript`. Chociaż `noscript` jest domyślnie wyłączony, może być włączony w niestandardowych konfiguracjach, co umożliwia obejście mechanizmu ochrony przed XSS.
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Vyper to język programowania w Pythonie, który celuje w Ethereum Virtual Machine (EVM). Przed wersją 0.3.10, prekompilacja ecrecover nie wypełniała bufora wyjściowego, jeśli podpis nie był weryfikowany, co mogło prowadzić do fałszywych wyników weryfikacji podpisu.
DataEase to narzędzie do analizy wizualizacji danych, które przed wersją 1.18.9 miało podatność na przechowywane ataki typu cross-site scripting (XSS) w panelu i zbiorze danych. Podatność została naprawiona w wersji 1.18.9.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie bufora na stercie w funkcji pe_as16() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto podatność typu use after free w pamięci sterty, która występuje w funkcji add_pe_exported_sym() w pliku /gdb/coff-pe-read.c.
W wersji 13.0.50.20220805-git GNU gdb (GDB) odkryto przepełnienie stosu w funkcji ada_decode w pliku /gdb/ada-lang.c.
Contao to system zarządzania treścią typu open source. W wersjach od 4.0.0 do 4.9.42, 4.13.28 i 5.1.10 istnieje możliwość wstrzyknięcia złośliwego kodu przez nieufnych użytkowników backendu do pól nagłówków, co skutkuje jego wykonaniem zarówno w podglądzie elementu, jak i na stronie internetowej.
Podatność w Envoy, która powoduje awarię aplikacji przy usunięciu nagłówka `origin` między `decodeHeaders` a `encodeHeaders`. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
W Envoy, przed wersjami 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12, logi dostępu gRPC korzystające z globalnego zakresu słuchacza mogą powodować awarię `use-after-free` podczas opróżniania słuchacza. Wersje 1.27.0, 1.26.4, 1.25.9, 1.24.10 i 1.23.12 zawierają poprawkę dla tego problemu.
Tuleap przed wersją 14.10.99.4 (Community Edition) oraz przed wersjami 14.10-2 i 14.9-5 (Enterprise Edition) nieprawidłowo obsługuje treści wyświetlane w polach kart, co może prowadzić do wykonania niekontrolowanego kodu przez złośliwego użytkownika.
W jądrze Linuxa znaleziono lukę w frameworku IP do transformacji pakietów (podsystem XFRM). Problem ten może umożliwić złośliwemu użytkownikowi z uprawnieniami CAP_NET_ADMIN wykonanie odczytu poza zakresem 4 bajtów z XFRMA_MTIMER_THRESH podczas analizy atrybutów netlink, co może prowadzić do wycieku wrażliwych danych z pamięci do przestrzeni użytkownika.
W systemie Linux znaleziono lukę w frameworku IP do transformacji pakietów (podsystem XFRM). Problem ten może pozwolić złośliwemu użytkownikowi z uprawnieniami CAP_NET_ADMIN na bezpośrednie odwołanie się do wskaźnika NULL w funkcji xfrm_update_ae_params(), co może prowadzić do awarii jądra i odmowy usługi.
Wtyczka Apache Felix Healthcheck Webconsole w wersji 2.0.2 i wcześniejszych zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
W wersjach JetBrains TeamCity przed 2023.05.2 istniała możliwość przeprowadzenia ataku XSS poprzez integrację z GitHubem.
W wersjach JetBrains TeamCity przed 2023.05.2 istniała możliwość przeprowadzenia ataku ReDoS poprzez integrację z trackerami problemów.
W JetBrains TeamCity przed wersją 2023.05.2 token z ograniczonymi uprawnieniami mógł być użyty do uzyskania pełnego dostępu do konta.