Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka WP RSS Images autorstwa Alaina Gonzaleza w wersjach do 1.1 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka WP Abstracts autorstwa Kevona Adonisa w wersjach do 2.6.2 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
Wtyczka OOPSpam Anti-Spam w wersjach do 1.1.44 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka LWS Tools w wersjach do 2.4.1 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka do WooCommerce, Conditional shipping & Advanced Flat rate shipping rates / Flexible shipping, ma podatność typu Cross-Site Request Forgery (CSRF) w wersjach do 1.6.4.4. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka LWS Cleaner w wersjach do 2.3.0 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
W systemach SAP ERP Defense Forces i Public Security w wersjach 600, 603, 604, 605, 616, 617, 618, 802, 803, 804, 805, 806, 807, uwierzytelniony atakujący z uprawnieniami administratora może zapisywać dowolne dane do pliku syslog. Umożliwia to modyfikację wszystkich danych syslog, co prowadzi do całkowitego naruszenia integralności aplikacji.
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi Referrer-Policy, co umożliwia nieautoryzowanemu atakującemu uzyskanie szczegółów odnośnika, co prowadzi do ujawnienia informacji.
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 nie zaimplementowano nagłówka odpowiedzi X-Content-Type-Options. To umożliwia nieautoryzowanemu atakującemu wywołanie sniffingu typu MIME, co prowadzi do Cross-Site Scripting.
SAP BusinessObjects Business Intelligence Platform w wersjach 420 i 430 pozwala nieautoryzowanemu atakującemu, który przejął sesję użytkownika, na obejście starego hasła ofiary poprzez atak brute force, z powodu braku ograniczeń w szybkości zmiany hasła.
SAP NetWeaver Application Server ABAP i ABAP Platform w wersjach KRNL64NUC, 7.22 oraz KERNEL 7.22-7.93 nieprawidłowo sprawdzają uwierzytelnienie dla funkcji wymagających tożsamości użytkownika. W wyniku tego, atakujący może przeprowadzać złośliwe działania w sieci.
Runtime Workbench (RWB) w SAP NetWeaver Process Integration w wersji SAP_XITOOL 7.50 nie przeprowadza kontroli uwierzytelniania dla niektórych funkcjonalności wymagających tożsamości użytkownika. Nieautoryzowany użytkownik może uzyskać dostęp do danych technicznych dotyczących statusu produktu i jego konfiguracji.
Narzędzie wyświetlania wiadomości (MDT) w SAP NetWeaver Process Integration w wersji SAP_XIAF 7.50 nie przeprowadza kontroli uwierzytelniania dla niektórych funkcji wymagających tożsamości użytkownika. Nieautoryzowany użytkownik może uzyskać dostęp do danych technicznych dotyczących statusu produktu i jego konfiguracji.
Podczas tworzenia szablonu wpisu dziennika w SAP S/4HANA, atakujący mógłby przechwycić żądanie zapisu i zmienić szablon, co wpływa na poufność i integralność zasobu. Dodatkowo, standardowy szablon mógłby zostać usunięty, co prowadzi do tymczasowej niedostępności zasobu.
Warstwa komunikacyjna BICS w SAP BW oraz SAP BW/4HANA może ujawniać nieautoryzowane wartości komórek w odpowiedzi na zapytania. Wymagana jest jednak odpowiednia autoryzacja na poziomie zapytania oraz na poziomie kluczowych wskaźników.
W SAP Enable Now w wersjach WPB_MANAGER 1.0, WPB_MANAGER_CE 10, WPB_MANAGER_HANA 10 oraz ENABLE_NOW_CONSUMP_DEL 1704 brakuje nagłówków Content-Security-Policy i X-XSS-Protection. To umożliwia nieautoryzowanemu atakującemu próbę przeprowadzenia ataku typu reflected cross-site scripting, co może prowadzić do ujawnienia lub modyfikacji informacji.
W Issabel issabel-pbx w wersji 4.0.0-6 występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrach Nazwa Wirtualnego Faksu i Nazwa Identyfikatora Dzwoniącego w funkcji Nowy Wirtualny Faks.
W wersji 4 systemu Issabel PBX występuje podatność typu stored cross site scripting (XSS) w pliku index.php?menu=billing_rates, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek wprowadzony w polach Nazwa lub Prefiks w module Utwórz Nową Stawkę.
W Issabel issabel-pbx w wersji 4.0.0-6 występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrach Grupa i Opis.
Wykryto krytyczną podatność w Ruijie BCR810W w wersji 2.5.10, która dotyczy nieznanego przetwarzania komponentu Tracert Page. Manipulacja prowadzi do wstrzyknięcia poleceń systemowych.