Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.29)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie Dahua Smart Park Management do wersji 20230713 zidentyfikowano krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /emap/devicePoint_addImgIco?hasSubsystem=true, co prowadzi do nieograniczonego przesyłania plików.
W librsvg przed wersją 2.56.3 występuje problem z przechodzeniem przez katalogi w dekoderze URL, który może być wykorzystany przez lokalnych lub zdalnych atakujących do ujawnienia plików z systemu plików, znajdujących się poza oczekiwaną lokalizacją.
Datalust Seq w wersjach przed 2023.2.9489 umożliwia wstawienie wrażliwych informacji do pliku lub katalogu dostępnego zewnętrznie. Wykorzystanie tej podatności jest możliwe tylko przy użyciu zewnętrznego magazynu metadanych (SQL Server lub PostgreSQL).
W systemie IBOS OA w wersji 4.5.5 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku /?r=recruit/resume/edit&op=status komponentu Interview Handler. Manipulacja argumentem resumeid prowadzi do wstrzyknięcia SQL.
W Dapr odkryto podatność, która umożliwia obejście uwierzytelniania za pomocą tokena API. Atakujący może skonstruować odpowiednie żądanie HTTP, które zostanie zaakceptowane przez Dapr, nawet jeśli token jest nieprawidłowy lub brak go w żądaniu.
KubePi to otwartoźródłowy panel zarządzania Kubernetesem. Punkt końcowy /kubepi/api/v1/users/search?pageNum=1&&pageSize=10 ujawnia hasze haseł użytkowników, w tym administratorów, co może umożliwić atakującemu ich złamanie.
Plugin `ckeditor-wordcount-plugin` dla CKEditor4 jest podatny na ataki typu cross-site scripting (XSS) podczas przełączania się w tryb kodu źródłowego. Problem został rozwiązany w wersji 1.17.12 tego pluginu.
Indico, narzędzie do zarządzania wydarzeniami, ma podatność typu Cross-Site Scripting w oknach potwierdzenia usuwania treści. Wykorzystanie tej podatności wymaga, aby osoba z uprawnieniami do przesyłania treści próbowała usunąć zawartość, co stwarza ryzyko ataku.
Podatność w Microsoft Edge (oparty na Chromium) umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
Podatność w Microsoft Edge dla systemu Android umożliwia oszustwo, co może prowadzić do wyłudzenia danych użytkowników. Atakujący może wykorzystać tę lukę do podszywania się pod zaufane źródła.
Podatność w Microsoft Edge (oparty na Chromium) umożliwia oszustwo, co może prowadzić do nieautoryzowanego dostępu do danych użytkownika.
W GitLab EE odkryto problem z wyciekiem wrażliwych informacji, który dotyczy wszystkich wersji od 16.0 do 16.0.6 oraz od 16.1 do 16.1.1. Umożliwia on dostęp do tytułów prywatnych zgłoszeń i MR.
WebBoss.io CMS w wersjach przed 3.7.0.1 zawiera podatność na odzwierciedlone ataki XSS.
W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 występuje podatność na atak Cross-site Scripting (XSS) typu reflected.
W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 występuje podatność na atak Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W repozytorium GitHub pimcore/pimcore przed wersją 10.6.4 wystąpiła podatność, która umożliwia ujawnienie wrażliwych informacji osobom nieuprawnionym.
W systemie zarządzania szpitalem w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanego przetwarzania pliku patientprofile.php, gdzie manipulacja argumentem address prowadzi do wstrzyknięcia SQL.
W systemie zarządzania szpitalem w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku patientappointment.php. Manipulacja argumentami loginid, password, mobileno, appointmentdate, appointmenttime, patiente, dob, doct oraz city prowadzi do ataku typu SQL injection.
W systemie zarządzania szpitalem w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'address' w pliku patient.php prowadzi do ataku typu SQL injection, który można przeprowadzić zdalnie.
W systemie zarządzania szpitalem w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku patientforgotpassword.php. Manipulacja tym plikiem prowadzi do wstrzykiwania SQL.