Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W hcengineering Huly Platform 0.7.382, komponent JWT Token Handler w pliku foundations/core/packages/token/src/token.ts używa zakodowanego na stałe klucza kryptograficznego (SERVER_SECRET z wartością 'secret'). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny ze względu na wysoką złożoność. Producent nie odpowiedział na zgłoszenie.
W Zcash zcashd przed wersją 6.12.0 wykryto, że nieprawidłowe transakcje mogą być akceptowane w pewnych warunkach, ponieważ czasami nie weryfikowano dowodów Sprout. Może to prowadzić do wyczerpania środków użytkowników z puli Sprout.
W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Electron na Windows nie cytuje ścieżki pliku wykonywalnego przy zapisie do rejestru Run, co pozwala atakującemu z dostępem do katalogu nadrzędnego na podmianę pliku uruchamianego przy logowaniu.
W Electron przed wersjami 38.8.6, 39.8.0, 40.7.0 i 41.0.0-beta.8 funkcja zwrotna select-usb-device nie waliduje wybranego identyfikatora urządzenia względem filtrowanej listy. Aplikacja, której procedura obsługi może zostać nakłoniona do wybrania urządzenia spoza filtrowanego zestawu, może uzyskać dostęp do nieautoryzowanego urządzenia USB.
W narzędziu util-linux stwierdzono wadę w kanonizacji nazwy hosta w programie `login(1)` przy użyciu opcji `-h`. Może to zmodyfikować zdalną nazwę hosta przed ustawieniem `PAM_RHOST`, co zdalny atakujący może wykorzystać, podając specjalnie spreparowaną nazwę hosta, potencjalnie omijając reguły kontroli dostępu PAM oparte na w pełni kwalifikowanych nazwach domen.
W aplikacji Toy Planet Trouble App na Androida do wersji 1.5.5 wykryto podatność w pliku assets/google-services-desktop.json w komponencie app.investory.toyfactory. Manipulacja argumentem current_key prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga dostępu lokalnego.
W systemie Casdoor w wersji 2.356.0 funkcja dangerouslySetInnerHTML jest podatna na atak XSS poprzez manipulację argumentami formCss, formCssMobile lub formSideHtml. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
W aplikacji Wahoo Fitness SYSTM na Androida do wersji 7.2.1 w pliku BuildConfig.java użyto zakodowanego na stałe klucza kryptograficznego (SEGMENT_WRITE_KEY). Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
W aplikacji Individuals & Pro App na Androida do wersji 2.1.7 wykryto podatność w pliku BuildConfig.java w komponencie com.afone.noelse. Manipulacja argumentem SEGMENT_WRITE_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga dostępu lokalnego.
W aplikacji AgentNet Singapore App na Androida do wersji 23.7.10 wykryto podatność w pliku BuildConfig.java w komponencie com.allproperty.android.agentnet. Manipulacja argumentami SEGMENT_ANDROID_WRITE_KEY/SEGMENT_TOS_WRITE_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga dostępu lokalnego.
W aplikacji My Invisalign App 3.12.4 na Androidzie, w pliku BuildConfig.java komponentu com.aligntech.myinvisalign.emea, manipulacja argumentem CDAACCESS_TOKEN prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga dostępu lokalnego, exploit jest publicznie dostępny. Producent nie odpowiedział.
W aplikacji Dialogue App do wersji 4.3.2 na Androidzie, w pliku res/raw/config.json komponentu ca.diagram.dialogue, manipulacja argumentem SEGMENT_WRITE_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga dostępu lokalnego, exploit jest publicznie dostępny. Producent nie odpowiedział.
W aplikacji GRID Organiser App na Androida do wersji 1.0.5 znaleziono podatność w pliku res/raw/app.json. Manipulacja argumentem SegmentWriteKey prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga lokalnego dostępu.
W aplikacji Rico só vantagem pra investir App na Androida do wersji 4.58.32.12421 znaleziono podatność w pliku br/com/rico/mobile/di/SegmentSettingsModule.java. Manipulacja argumentem SEGMENT_WRITE_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga lokalnego środowiska.
W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 odkryto problem z niesanityzowanymi argumentami polecenia IMAP SEARCH. Może to prowadzić do wstrzyknięcia IMAP lub obejścia CSRF podczas wyszukiwania wiadomości.
W aplikacji UCC CampusConnect App na Androida do wersji 14.3.5 znaleziono podatność w pliku campusconnect/BuildConfig.java. Manipulacja prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak wymaga lokalnego wykonania.
Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 ma podatność na niebezpieczną deserializację w handlerze sesji redis/memcache, co może prowadzić do zapisu dowolnych plików przez nieuwierzytelnionych atakujących.
W aplikacji Shinrays Games Goods Triple App do wersji 1.200, w pliku jRwTX.java, użyto zakodowanego na stałe klucza kryptograficznego (AES_IV/AES_PASSWORD). Atak lokalny o wysokiej złożoności, exploit opublikowany. Producent nie odpowiedział.
W systemie Ella Core przed wersją 1.8.0 w API PUT /api/v1/subscriber/{imsi} nie jest weryfikowane, czy IMSI z ścieżki URL zgadza się z IMSI z ciała żądania JSON. Uwierzytelniony NetworkManager może zmodyfikować politykę dowolnego abonenta, a dziennik audytu będzie zawierał fałszywy IMSI. Podatność została naprawiona w wersji 1.8.0.