Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wykryto krytyczną podatność w kodbox 1.26, która dotyczy funkcji Execute w pliku webconsole.php.txt komponentu WebConsole Plug-In. Manipulacja tą funkcją prowadzi do wstrzyknięcia poleceń systemowych.
W TamronOS w wersjach do 20230703 odkryto krytyczną podatność, która dotyczy nieznanej części pliku /api/ping. Manipulacja argumentem host prowadzi do wstrzyknięcia poleceń systemowych.
W PHPGurukul Online Shopping Portal 1.0 odkryto krytyczną podatność w nieznanej funkcjonalności strony rejestracji. Manipulacja tą podatnością prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelnienia.
Atakujący może obejść najnowszą łatkę Delta Electronics InfraSuite Device Master (wersje przed 1.0.7), co pozwala na uzyskanie dostępu do zawartości plików.
W systemie zarządzania opłatami Best Fee Management System w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy funkcji save_user w pliku admin_class.php komponentu Add User Handler, co prowadzi do niewłaściwych kontroli dostępu.
W systemie raportowania pożarów PHPGurukul w wersji 1.2 występuje podatność typu Cross Site Scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do pola wyszukiwania.
W systemie zarządzania hostelami w wersji 2.1 występuje podatność typu Cross-Site Scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w polu wyszukiwania rezerwacji.
W systemie PHPGurukul Online Security Guards Hiring w wersji 1.0 występuje podatność typu Cross-Site Scripting (XSS), która pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowany ładunek w polu wyszukiwania rezerwacji.
W systemie zarządzania hostelami w wersji 2.1 występuje podatność typu Cross Site Scripting, która pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowane dane w polach dotyczących imienia opiekuna, relacji z opiekunem, adresu komplementarnego, miasta, adresu stałego oraz miasta na stronie szczegółów rezerwacji hostelu i pokoju.
Nieprawidłowe zarządzanie dodatkowymi specjalnymi elementami w repozytorium GitHub squidex/squidex przed wersją 7.4.0.
W wersji 7.11.8 HadSky zidentyfikowano podatność w nieznanej funkcjonalności komponentu User Handler, która prowadzi do ataku typu cross-site request forgery (CSRF). Atak może być przeprowadzony zdalnie.
W DedeCMS w wersji 5.7.109 odkryto krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku co_do.php. Manipulacja argumentem rssurl prowadzi do ataku typu server-side request forgery.
W repozytorium GitHub pimcore/customer-data-framework przed wersją 3.4.1 występuje niewłaściwa autoryzacja.
W repozytorium GitHub alextselegidis/easyappointments przed wersją 1.5.0 występuje podatność typu Open Redirect.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.10 występuje podatność typu Cross-site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.
Wtyczka Float menu dla WordPressa w wersjach przed 5.0.3 nie sanitizuje i nie ucieka niektórych ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.
Wtyczka EventON dla WordPressa przed wersją 2.1.2 nie weryfikuje, czy parametr event_id w akcji ajax eventon_ics_download jest prawidłowym identyfikatorem wydarzenia. To pozwala nieautoryzowanym użytkownikom na dostęp do treści dowolnych postów (w tym nieopublikowanych lub chronionych) poprzez funkcjonalność eksportu ics, podając numeryczny identyfikator posta.
Wtyczka AI ChatBot dla WordPressa w wersjach przed 4.6.1 nieprawidłowo obsługuje niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzanie ataków typu Cross-Site Scripting, nawet gdy możliwość wprowadzania nieprzefiltrowanego HTML jest zablokowana.
Wtyczka MStore API dla WordPressa przed wersją 3.9.7 nie zabezpiecza większości swoich akcji AJAX, nie implementując kontroli uprawnień, kontroli nonce ani ich kombinacji.
Wtyczka URL Shortify dla WordPressa przed wersją 1.7.0 nie sanitizuje i nie ucieka niektórych ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.