Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
tgstation-server to narzędzie do zarządzania serwerami BYOND, które może mieć problem z pamięcią podręczną kanału czatu API DreamMaker. Po restarcie i ponownym podłączeniu tgstation-server, pamięć podręczna może zostać zainfekowana, co prowadzi do wysyłania wiadomości czatu do skonfigurowanych kanałów IRC lub Discord.
Podatność CVE-2023-34204 dotyczy imapsync w wersji do 2.229, który używa przewidywalnych ścieżek w katalogach /tmp i /var/tmp. Te katalogi są zazwyczaj zapisywalne przez wszystkich, co pozwala atakującemu na modyfikację pamięci podręcznej imapsync i nadpisanie plików użytkownika.
Wtyczka WooCommerce Follow-Up Emails (AutomateWoo) w wersjach do 4.9.40 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
Wtyczka ThemeinProgress WIP Custom Login w wersjach do 1.2.9 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.
Wtyczka CRM Perks Contact Form Entries w wersjach do 1.3.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.
Wtyczka WP-Matomo Integration (WP-Piwik) w wersjach do 1.0.27 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.
Wtyczka Ciprian Popescu YouTube Playlist Player w wersjach do 4.6.4 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka PluginOps MailChimp Subscribe Form w wersjach do 4.0.9.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników odwiedzających stronę.
Wtyczka Smart App Banner w wersjach do 1.1.2 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Wtyczka BEAR w wersjach do 1.1.3.1 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Podatność CSRF w wtyczce Crocoblock JetFormBuilder w wersjach do 3.0.6 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.
Wtyczka WooDiscuz – WooCommerce Comments zawiera podatność na przechowywane ataki XSS, które mogą być wykorzystane przez użytkowników z uprawnieniami administratora. Problem dotyczy wersji od n/a do 2.2.9.
Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Źle sformatowany kanał RSS może dostarczyć ładunek XSS. Problem został naprawiony w wersji 4.4.6.
Omni-notes to aplikacja do robienia notatek na Androida, która miała lukę w walidacji ścieżek. Luka ta pozwalała złośliwym aplikacjom na kopiowanie plików z wewnętrznego magazynu do zewnętrznego, co mogło prowadzić do nieautoryzowanego dostępu do danych.
Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.
Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych. Występuje podatność na atak typu cross-site scripting (XSS), która może być wywołana przez wolumeny recenzji. Problem został naprawiony w wersji 4.4.7.
Highlight to otwartoźródłowa platforma monitorująca, która może rejestrować hasła w przypadku, gdy pole HTML z hasłem zostanie zmienione na `type="text"` za pomocą przycisku JavaScript 'Pokaż hasło'. To zachowanie różni się od oczekiwanego, które zawsze ukrywa dane wejściowe typu `password`.
Django-SES to backend pocztowy dla Django, który implementuje obsługę AWS Simple Email Service. W bibliotece django_ses wystąpił błąd w weryfikacji podpisów żądań z AWS, co pozwalało na określenie dowolnych publicznych certyfikatów.
W aplikacji internetowej Papaya Viewer w wersji 1.0.1449 odkryto problem związany z brakiem sanitizacji danych wejściowych. Użytkownicy mogą załadować obrazy DICOM lub NIFTI, co umożliwia wstrzyknięcie dowolnego kodu JavaScript do metadanych obrazu, który jest wykonywany podczas wyświetlania tych metadanych.
Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Wykryto podatność na atak typu cross-site scripting (XSS), która może być wywołana za pomocą narzędzia Update Asset Index. Problem został naprawiony w wersji 4.4.6.