Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Użycie znaków RTL w języku arabskim w pasku adresu mogło umożliwić spoofing URL. Ta podatność dotyczy przeglądarki Firefox w wersjach poniżej 115.
Podatność w przeglądarce Firefox (< 115) pozwala na ukrycie powiadomienia o trybie pełnoekranowym poprzez użycie elementu option, co może prowadzić do opóźnień spowodowanych kosztowną funkcją obliczeniową. Może to prowadzić do dezorientacji użytkowników oraz potencjalnych ataków spoofingowych.
Podatność pozwalała na zatarcie powiadomienia o trybie pełnoekranowym przez użycie adresu URL obsługiwanego przez zewnętrzny program, co mogło prowadzić do dezorientacji użytkowników oraz potencjalnych ataków spoofingowych.
Użycie TikaEncodingDetector w Apache Any23 może prowadzić do nadmiernego zużycia pamięci.
Zoho ManageEngine ADManager Plus w wersjach przed 7183 pozwala użytkownikom z uprawnieniami administratora wykorzystać problem XXE do przeglądania plików.
Bouncy Castle dla Javy przed wersją 1.74 jest podatny na atak typu LDAP injection. Podatność ta dotyczy aplikacji, które wykorzystują LDAP CertStore z Bouncy Castle do walidacji certyfikatów X.509, gdzie nazwa podmiotu certyfikatu jest wstawiana do filtru wyszukiwania LDAP bez odpowiedniego zabezpieczenia.
Wykryto krytyczną podatność w SmartWeb Infotech Job Board w wersji 1.0, dotyczącą nieznanej funkcjonalności pliku /settings/account w komponencie Moja strona profilowa. Manipulacja argumentem filename prowadzi do nieograniczonego przesyłania plików.
Wykryto krytyczną podatność w aplikacji SourceCodester Shopping Website 1.0, związaną z nieznaną funkcjonalnością pliku insert-product.php. Manipulacja tą funkcjonalnością prowadzi do nieograniczonego przesyłania plików.
W systemie SourceCodester Shopping Website w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcji w pliku search-result.php. Manipulacja argumentem 'product' prowadzi do ataku typu SQL injection.
Wtyczka Protect WP Admin dla WordPressa w wersjach przed 4.0 ujawnia adres URL panelu administracyjnego poprzez przekierowanie z wykorzystaniem spreparowanego adresu URL, omijając oferowaną ochronę.
Wszystkie wersje narzędzia konfiguracyjnego TWinSoft przechowują zaszyfrowane hasła w pamięci jako tekst jawny. Atakujący z dostępem do plików systemowych może otworzyć plik, aby załadować dokument do pamięci, w tym wrażliwe informacje, takie jak hasło.
Podatne urządzenia TBox RTU umożliwiają użytkownikom o niskich uprawnieniach dostęp do tokenów bezpieczeństwa o wyższych uprawnieniach. Atakujący z uprawnieniami 'użytkownika' może uzyskać dostęp do plików wymagających wyższych uprawnień poprzez nawiązanie sesji SSH i dostarczenie innych tokenów.
Podatne urządzenia TBox RTU generują tokeny bezpieczeństwa oprogramowania przy użyciu niewystarczającej entropii. Ziarno losowe używane do generowania tokenów nie jest poprawnie inicjowane, a inne części tokenu są generowane na podstawie przewidywalnych wartości czasowych.
W Maxsite CMS w wersji 108.7 występuje podatność typu Cross Site Scripting, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez parametr f_content w pliku admin/page_new.
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Nullsoft Scriptable Install System (NSIS) w wersjach przed 3.09 niewłaściwie zarządza kontrolą dostępu do katalogu odinstalowywania.
Zagrożone urządzenia TBox RTU przechowują hasła w postaci skrótów przy użyciu algorytmu MD5, który jest uznawany za niebezpieczny.
Knowage to profesjonalny zestaw open source do analizy danych, który ma lukę w wersjach 6.x.x i wcześniejszych niż 8.1.8. Umożliwia ona uwierzytelnionym użytkownikom pobieranie plików szablonów, jednak brak sanitizacji parametru '_templateName_' pozwala atakującym na pobranie dowolnego pliku z systemu.
W oprogramowaniu układowym procesora zabezpieczeń Google w Google Chrome na Chrome OS przed wersją 114.0.5735.90 wystąpił błąd odczytu poza zakresem, który umożliwił lokalnemu atakującemu przeprowadzenie ataku typu denial of service przy fizycznym dostępie do urządzenia.