Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W wersjach JetBrains TeamCity przed 2023.05 istniała podatność na otwarte przekierowanie podczas konfiguracji oAuth.
W JetBrains TeamCity przed wersją 2023.05 parametry typu 'hasło' z zależności budowy mogły być logowane w niektórych przypadkach.
W JetBrains TeamCity przed wersją 2023.05 istniała możliwość wystąpienia ataku XSS w URL dostawcy wtyczek.
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS na stronie 'Show Connection'.
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS w oknie publikacji statusu commitów.
W wersjach JetBrains TeamCity przed 2023.05 wystąpił problem z niewłaściwymi kontrolami uprawnień, który pozwalał użytkownikom bez odpowiednich uprawnień na edytowanie ustawień konfiguracji budowy za pomocą REST API.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W Dcat-Admin w wersji 2.1.3-beta występuje podatność typu stored cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru URL.
W systemie zarządzania studentami ningzichun w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcjonalności pliku resetPassword.php w komponencie obsługi resetowania hasła, gdzie manipulacja argumentem sid prowadzi do osłabionej procedury odzyskiwania hasła.
W systemie Simple Chat System 1.0 odkryto krytyczną podatność, która umożliwia atak SQL injection poprzez manipulację parametrem convo_id w pliku /ajax.php?action=read_msg. Atak może być przeprowadzony zdalnie.
W systemie biletowym stacji kolejowej SourceCodester w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'id' w pliku manage_prices.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane zdalnie.
Wykryto podatność w ImageMagick, która występuje w wyniku nieokreślonego zachowania podczas rzutowania typu double na size_t w kodach svg, mvg i innych. Jest to powracający błąd związany z CVE-2022-32546.
JStachio to typowo bezpieczny silnik szablonów Mustache dla Javy. W wersjach przed 1.0.1, JStachio nie ucieka pojedynczych cudzysłowów `'` w HTML, co pozwala atakującemu na wstrzyknięcie złośliwego kodu.
Xibo to system zarządzania treścią (CMS), który w wersjach od 3.0.0 do 3.3.5 ujawnia wrażliwe informacje poprzez wyświetlanie śladów stosu w przypadku wywołania niektórych tras API z brakującymi lub nieprawidłowymi parametrami. Użytkownicy powinni zaktualizować do wersji 3.3.5, która naprawia ten problem.
W systemie zarządzania treścią Xibo odkryto podatność na wstrzykiwanie SQL w API `/display/map`, która występuje od wersji 3.2.0 do 3.3.2. Umożliwia to uwierzytelnionemu użytkownikowi wykradanie danych z bazy danych Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze `bounds`.
W systemie zarządzania treścią Xibo odkryto podatność na wstrzykiwanie SQL w funkcji `nameFilter`, która występuje od wersji 3.2.0 do 3.3.5. Umożliwia to uwierzytelnionemu użytkownikowi wykradanie danych z bazy danych Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości dla operatorów logicznych.
W systemie zarządzania treścią Xibo odkryto podatność na wstrzykiwanie SQL w API `/dataset/data/{id}`. Umożliwia to uwierzytelnionemu użytkownikowi wykradanie danych z bazy danych Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze `filter`.
W NanoMQ w wersji 0.17.2 występuje podatność na wyciek pamięci. Problem znajduje się w pliku message.c i może być wykorzystany przez atakującego do przeprowadzenia ataku typu denial of service, powodując zużycie wszystkich dostępnych zasobów pamięci.
Minio Console, interfejs użytkownika dla MinIO Object Storage, jest podatny na wykorzystanie znaków Unicode RIGHT-TO-LEFT OVERRIDE, co pozwala na zamaskowanie oryginalnej nazwy pliku.
Kyverno to silnik polityk zaprojektowany dla Kubernetes. Kontrola seccomp w Kyverno może być obejściem, co dotyczy użytkowników subreguły `validate.podSecurity` w wersjach 1.9.2 i 1.9.3. Problem został naprawiony w wersji 1.9.4.