Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podsystemie NVMe over Fabrics (nvmet) jądra Linux wykryto błąd prowadzący do awarii podczas wyłączania przestrzeni nazw. Licznik percpu chroniący oczekujące I/O nie był odpowiednio obsługiwany, co powodowało crash przy próbie wyłączenia przestrzeni nazw z aktywnym I/O.
W jądrze Linuxa naprawiono podatność związaną z problemem wyścigu podczas wyszukiwania i wygasania sesji w ksmbd. Zwiększenie liczby referencji sesji w obrębie blokady podczas wyszukiwania zapobiega występowaniu tego problemu.
Podatność CVE-2025-28915 dotyczy motywu ThemeEgg ToolKit, który pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 1.2.9 włącznie.
Wykryto problem w Percona PMM Server (OVA) przed wersją 3.0.0-1.ova, który dotyczy domyślnych poświadczeń konta serwisowego. Może to prowadzić do dostępu SSH, użycia Sudo do uzyskania uprawnień roota oraz ujawnienia wrażliwych danych.
Problem z zapisem poza przydzielonym obszarem pamięci został rozwiązany poprzez poprawione kontrole, które zapobiegają nieautoryzowanym działaniom. Problem ten został naprawiony w kilku wersjach Safari, iOS oraz macOS.
AMI's SPx zawiera podatność w BMC, gdzie atakujący może zdalnie obejść uwierzytelnianie przez Redfish Host Interface. Skuteczne wykorzystanie tej podatności może prowadzić do utraty poufności, integralności i/lub dostępności.
Zidentyfikowano podatność w urządzeniach SINAMICS S200 (wszystkie wersje z numerem seryjnym zaczynającym się od SZVS8, SZVS9, SZVS0 lub SZVSN oraz numerem FS 02). Affected device posiada odblokowany bootloader, co umożliwia atakującym wstrzykiwanie złośliwego kodu lub instalację nieufnego oprogramowania.
Podatność w Apache Tomcat związana z równoważnością ścieżek (wewnętrzna kropka w nazwie pliku) może prowadzić do zdalnego wykonania kodu, ujawnienia informacji lub dodania złośliwej treści do przesyłanych plików. Występuje, gdy włączony jest zapis dla domyślnego serwletu, obsługa częściowego PUT oraz inne warunki konfiguracyjne.
Podatność CVE-2025-26936 dotyczy niewłaściwej kontroli generowania kodu w frameworku FRESHFACE Fresh Framework, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji Fresh Framework od n/a do 1.70.0 włącznie.
W podatności CVE-2025-26916 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia pliku. Problem ten dotyczy wersji Massive Dynamic od n/a do 8.2 włącznie.
XWiki Confluence Migrator Pro umożliwia administratorom importowanie pakietów Confluence do ich instancji XWiki. Użytkownik, który nie ma uprawnień programistycznych, może wykonać dowolny kod z powodu nieodpowiedniego przetłumaczenia podczas tworzenia strony za pomocą szablonu Migracji Strony.
Wykryto podatność w Arctera InfoScale w wersjach od 7.0 do 8.0.2, która pozwala na wykorzystanie punktu końcowego .NET remoting z powodu niebezpiecznej deserializacji potencjalnie nieufnych wiadomości. Podatność występuje w usłudze Windows Plugin_Host, działającej na wszystkich serwerach z zainstalowanym InfoScale.
Wtyczka WPCOM Member dla WordPressa jest podatna na obejście uwierzytelnienia we wszystkich wersjach do i włącznie z 1.7.5. Problem wynika z niewystarczającej weryfikacji parametru 'user_phone' podczas logowania.
W jądrze Linux w sterowniku RDMA/rxe występuje ostrzeżenie podczas czyszczenia zasobów, gdy przydzielono zbyt wiele zasobów rdma. Obecny limit czasu jest zbyt krótki, aby poprawnie zwolnić wszystkie zasoby, co prowadzi do wyświetlenia ostrzeżenia.
W podatności CVE-2024-12144 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Finder Fire Safety Finder ERP/CRM (stara wersja). Problem dotyczy wersji przed 18.12.2024.
W wersji 0.7.2 Spacy-LLM występuje podatność typu Server-Side Template Injection (SSTI), która pozwala atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do pola szablonu.
Serwer Lucee, oparty na Javie, ma podatność na zdalne wykonanie kodu (RCE) poprzez atak XML XXE w punkcie końcowym REST. Problem ten został naprawiony w wersjach Lucee 5.4.3.2, 5.3.12.1, 5.3.7.59, 5.3.8.236 oraz 5.3.9.173.
W panelu logowania B2B oprogramowania Merkur występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji przed 15.01.2025.
W podatności CVE-2024-12097 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie E-Travel firmy Boceksoft Informatics. Problem dotyczy wersji przed 15.12.2024.
Motyw Homey dla WordPressa jest podatny na eskalację uprawnień we wszystkich wersjach do 2.4.2 włącznie. Problem wynika z możliwości, jaką plugin daje użytkownikom rejestrującym nowe konta, aby mogli ustawić własną rolę.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS