Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w Adobe Commerce umożliwia ominięcie zabezpieczeń poprzez nieprawidłową walidację danych wejściowych. Atakujący z wysokimi uprawnieniami może uzyskać nieautoryzowany dostęp do zapisu, co wymaga interakcji ofiary (np. kliknięcia w złośliwy link).
Aplikacja nie wprowadza wystarczających ograniczeń dotyczących uprawnień dostępu do katalogów, co stwarza ryzyko, że inne złośliwe aplikacje mogą uzyskać dostęp do wrażliwych informacji.
Podatność CRLF Injection w bibliotece cowlib umożliwia dzielenie żądań HTTP i przemycanie ciasteczek przez niezweryfikowane nazwy i wartości ciasteczek. Funkcja cow_cookie:cookie/1 buduje nagłówek Cookie bez walidacji, co pozwala atakującemu na wstrzyknięcie znaków ;, ,, CR, LF lub TAB.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /accounts/chart-save. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W WebAssembly Binaryen do wersji 117 w funkcji IRBuilder::makeBrOn w pliku src/wasm/wasm-ir-builder.cpp występuje osiągalne asercje. Manipulacja danymi wejściowymi może doprowadzić do przerwania działania. Exploit jest publicznie dostępny.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /accounts/mr-save. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /inventory/add_new_customer. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W Devs Palace ERP Online do wersji 4.0.0 wykryto podatność XSS w pliku /inventory/sales_save. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /inventory/purchase_save. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W Canias ERP 8.03 firmy IAS wykryto podatność w funkcji doAction komponentu Login RMI Interface. Manipulacja prowadzi do zauważalnej różnicy w odpowiedzi, co umożliwia atak zdalny, choć o wysokiej złożoności. Exploit został opublikowany.
W libexpat przed wersją 2.8.1 złożoność obliczeniowa sprawdzania kolizji nazw atrybutów umożliwia atak DoS za pomocą umiarkowanie dużego, spreparowanego wejścia XML.
W systemie Dotouch XproUPF w wersji 2.0.0-release-088aa7c4 w komponencie UPF Process w bibliotece /usr/xpro/upf/tools/libs/libvlib.so funkcja vlib_worker_loop może być manipulowana, co prowadzi do odmowy usługi (DoS).
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /inventory/item-save. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS w pliku /inventory/customer-save. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W Devs Palace ERP Online do wersji 4.0.0, nieznana funkcja w pliku /inventory/supplier-save jest podatna na atak Cross Site Scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.
W systemie Devs Palace ERP Online do wersji 4.0.0 wykryto podatność na atak XSS (Cross-Site Scripting) w nieznanej funkcji pliku /inventory/purchase_return_save. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Podatność w GrapheneOS przed wersją 2026050400. Atakujący może odkryć prawdziwy adres IP użytkownika VPN z powodu optymalizacji registerQuicConnectionClosePayload, gdy włączone są ustawienia 'Block connections without VPN' i 'Always-on VPN'. Aplikacja może sprawić, że system_server wyśle ruch UDP w jej imieniu.
W JeecgBoot 3.9.1 stwierdzono podatność na ominięcie autoryzacji w punkcie końcowym mLogin. Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania.
W SysReptor przed wersją 2026.29 użytkownicy z uprawnieniami "User Admin" mogą zmieniać adresy e-mail użytkowników z uprawnieniami "Superuser". Jeśli włączona jest funkcja "Forgot Password", mogą zresetować hasło superużytkownika i uzyskać dostęp do backendu Django oraz manipulować ustawieniami.
FastGPT przed wersją 4.14.17 zawiera podatność SSRF (Server-Side Request Forgery) bez uwierzytelniania. Funkcja fetchData w węźle lafModule nie waliduje URL-i względem bloklisty wewnętrznej, co pozwala na wysyłanie żądań do adresów wewnętrznych/prywatnych.