Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu w aplikacji.
W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS) typu przechowywanego.
W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu w aplikacji.
W systemie Campcodes Retro Cellphone Online Store w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'category' w pliku /admin/modal_add_product.php prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.
W repozytorium GitHub zadam/trilium przed wersją 0.59.4 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W systemie zarządzania szkołą Agro-School Management System w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'password' w pliku index.php prowadzi do ataku typu SQL injection.
W systemie zarządzania szkołą Agro-School Management System w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanego przetwarzania pliku btn_functions.php w komponencie Attachment Image Handler, co prowadzi do nieograniczonego przesyłania plików.
W systemie SourceCodester Online Exam Form Submission 1.0 odkryto krytyczną podatność, która dotyczy pliku /admin/update_s6.php. Manipulacja argumentem id prowadzi do wstrzykiwania SQL.
W YFCMF w wersjach do 3.0.4 zidentyfikowano podatność, która umożliwia atak typu path traversal poprzez manipulację argumentem controllername w pliku app/admin/controller/Ajax.php.
W aplikacji internetowej Mobatime występuje podatność na błędną autoryzację, która umożliwia eskalację uprawnień poprzez niewłaściwie skonfigurowane poziomy kontroli dostępu.
Nieprawidłowe ograniczenie ścieżki prowadzi do podatności typu Path Traversal w module King-Avis dla Prestashop, co pozwala użytkownikowi znającemu token pobierania na odczyt dowolnych lokalnych plików. Problem dotyczy wersji King-Avis przed 17.3.15.
Wykryto podatność w YFCMF do wersji 3.0.4, która dotyczy nieznanego kodu w pliku index.php. Manipulacja prowadzi do przejścia ścieżki: '../filedir'.
W konsoli zarządzania eScan firmy Microworld Technologies w wersji 14.0.1400.2281 występuje podatność na odzwierciedlone ataki Cross Site Scripting (XSS) w funkcji wyświetlania szczegółów dashboardu. Umożliwia to zdalnemu atakującemu wstrzyknięcie dowolnego kodu za pomocą URL.
W wersji mp4v2 v2.1.3 odkryto wyciek pamięci, który występuje, gdy metoda wywołująca MP4File::ReadBytes() przydzieliła pamięć, ale nie obsłużyła wyjątków zgłaszanych przez ReadBytes().
Aplikacja BT21 x BTS Wallpaper 12 dla Androida pozwala nieautoryzowanym aplikacjom na żądanie uprawnień do wstawiania danych do bazy preferencji użytkownika. Wstrzyknięcie złośliwych adresów URL obrazów powoduje przeciążenie pamięci i awarię aplikacji.
W eMedia Consulting simpleRedak w wersji do 2.47.23.05 odkryto podatność na przechowywane ataki typu cross-site scripting (XSS) w komponencie #/de/casting/show/detail/<ID>.
Portal captive w wersjach Inpiazza Cloud WiFi przed v4.2.17 nie wprowadza ograniczeń dotyczących liczby prób odzyskiwania hasła, co umożliwia atakującym przeprowadzenie ataku brute force na ważne konta użytkowników w celu uzyskania danych logowania.
Kyverno, silnik polityk zaprojektowany dla Kubernetes, w wersjach przed 1.10.0 pozwalał zasobom zdefiniowanym z polem `deletionTimestamp` na obejście polityk walidacji, generowania lub modyfikacji. Zasoby oczekujące na usunięcie były świadomie zwolnione z przetwarzania, co mogło umożliwić złośliwym użytkownikom manipulację politykami.
Janino w wersji 3.1.9 i wcześniejszych jest podatny na ataki typu denial of service (DOS) przy użyciu metody evaluator.guess parametru name. W przypadku, gdy parser działa na danych dostarczonych przez użytkownika, atakujący może dostarczyć treść, która spowoduje awarię parsera z powodu przepełnienia stosu.
Hawtio w wersji 2.17.2 jest podatny na atak typu Path Traversal. Możliwe jest wprowadzenie złośliwych plików zip, co może prowadzić do przechowywania plików o wysokim ryzyku w dowolnej lokalizacji, a nawet do nadpisania plików.