Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie Chengdu VEC40G 3.0 zidentyfikowano podatność, która umożliwia zdalne wywołanie usługi Denial of Service poprzez manipulację argumentem 'restart' w pliku /send_order.cgi. Wprowadzenie wartości 'reboot' prowadzi do awarii systemu.
W podatności Cross Site Scripting (XSS) w platformie zarządzania AC Centralized Management v1.02.040 firmy Youxun Electronic Equipment (Shanghai) Co., Ltd, atakujący mogą wykonać dowolny kod poprzez przesłanie spreparowanego pliku HTML do interfejsu /upfile.cgi.
EyouCMS w wersji 1.6.2 jest podatny na ataki typu Cross Site Scripting (XSS), co może umożliwić atakującym wstrzykiwanie złośliwego kodu do aplikacji.
W repozytorium GitHub froxlor/froxlor przed wersją 2.1.0 występuje podatność na atak typu Session Fixation.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych.
W repozytorium GitHub owncast/owncast przed wersją 0.1.0 występuje podatność typu Server-Side Request Forgery (SSRF). Atakujący może wykorzystać tę lukę do wysyłania żądań do wewnętrznych zasobów serwera.
W systemie zarządzania rekordami nauczycieli PHPGurukul w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku /changeimage.php, gdzie manipulacja argumentem newpic prowadzi do nieograniczonego przesyłania plików.
W podatności Cross Site Scripting (XSS) w urządzeniu D-Link DI-7500G-CI-19.05.29A, atakujący może wykonać dowolny kod poprzez przesłanie spreparowanego pliku HTML do interfejsu /auth_pic.cgi.
Wykryto problem w Progress DataDirect Connect dla ODBC przed wersją 08.02.2770 dla Oracle. W przypadku użycia szyfrowania Oracle Advanced Security (OAS), w przypadku błędu podczas inicjalizacji obiektu szyfrującego, kod przechodzi do innego mechanizmu szyfrowania, który wykorzystuje niebezpieczny generator liczb losowych do generowania klucza prywatnego.
W systemie SourceCodester Lost and Found Information System w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku admin\inquiries\view_inquiry.php. Manipulacja tą funkcjonalnością prowadzi do wstrzyknięcia SQL.
W systemie informacyjnym Lost and Found w wersji 1.0 odkryto krytyczną podatność, która umożliwia atak SQL injection poprzez manipulację argumentem id w pliku admin\user\manage_user.php.
JavaCPP Presets wykorzystuje parametr `github.event.head_commit.message` w sposób niebezpieczny, co prowadzi do podatności na wstrzyknięcie poleceń. Problem ten został rozwiązany w wersji 1.5.9.
CVE-2023-34243 dotyczy narzędzia TGstation, które zarządza serwerami BYOND. W podatnych wersjach, atakujący mógł odkryć nazwę użytkownika Windows poprzez brute-forcing punktu logowania z nieprawidłowym hasłem.
W wersjach Chamilo v1.11.x do v1.11.18 zidentyfikowano podatność typu cross-site scripting (XSS) w polu /feedback/comment.
Wersje Chamilo od v1.11.* do v1.11.18 mają lukę, która pozwala atakującym na wykonanie ataku typu Server-Side Request Forgery (SSRF). Dzięki temu mogą uzyskać informacje o usługach działających na serwerze poprzez odpowiednio skonstruowane żądania w narzędziach społecznościowych i linków.
Nieprawidłowa kontrola dostępu w Chamilo 1.11.* do 1.11.18 umożliwia studentowi zapisanym na dany kurs pobranie dokumentów należących do innego studenta, jeśli zna identyfikator dokumentu.
Thruk w wersjach 3.06 i wcześniejszych jest podatny na atak typu Path Traversal w pliku `panorama.pm`, co pozwala atakującemu na przesyłanie plików do dowolnego folderu z uprawnieniami do zapisu. Parametr lokalizacji nie jest filtrowany ani walidowany.
W urządzeniu Tenda AC10 v4 zidentyfikowano przepełnienie stosu związane z parametrem shareSpeed w punkcie końcowym /goform/WifiGuestSet.
W urządzeniu Tenda AC10 v4 US_AC10V4.0si_V16.03.10.13_cn odkryto podatność na przepełnienie stosu poprzez parametr devName w punkcie końcowym /goform/SetOnlineDevName.