Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Brak weryfikacji uprawnień w wtyczce AppSpider dla Jenkins w wersji 1.0.15 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL oraz wysłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające określone przez atakującego.
Brak weryfikacji uprawnień w wtyczce Jenkins SAML Single Sign On (SSO) w wersji 2.0.0 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read wysyłanie żądań HTTP POST z treścią JSON określoną przez atakującego do API miniOrange w celu wysyłania e-maili.
Wtyczka Jenkins SAML Single Sign On (SSO) w wersji 2.0.2 i wcześniejszych nie wykonuje walidacji nazwy hosta podczas łączenia się z miniOrange lub skonfigurowanym IdP w celu pobrania metadanych SAML. Może to być wykorzystane w ataku typu man-in-the-middle do przechwytywania tych połączeń.
Podatność CVE-2023-31409 dotyczy niekontrolowanego zużycia zasobów w czujniku przepływu powietrza SICK FTMg. Umożliwia to zdalnemu atakującemu wpływanie na dostępność serwera WWW poprzez przeprowadzenie ataku w stylu Slowloris za pomocą żądań HTTP.
W czujniku przepływu powietrza SICK FTMg występuje przechowywanie wrażliwych informacji w postaci niezaszyfrowanej. Atakujący zdalny może potencjalnie ukraść dane logowania użytkowników, które są przechowywane w lokalnej pamięci przeglądarki użytkownika za pomocą ataków typu cross-site scripting.
W czujniku przepływu powietrza SICK FTMg, modele 1100214, 1100215, 1100216, 1120114, 1120116, 1122524, 1122526, możliwe jest użycie hasha hasła zamiast rzeczywistego hasła do uwierzytelnienia. To pozwala nieuprzywilejowanemu zdalnemu atakującemu na zalogowanie się do ważnego konta użytkownika za pośrednictwem interfejsu REST.
W czujniku przepływu powietrza SICK FTMg występuje niezgodność w odpowiedziach, co pozwala zdalnemu atakującemu na uzyskanie informacji o ważnych nazwach użytkowników. Problem dotyczy numerów części 1100214, 1100215, 1100216, 1120114, 1120116, 1122524, 1122526 poprzez analizę odpowiedzi wyzwań z serwera za pośrednictwem interfejsu REST.
W urządzeniach SICK FTMg AIR FLOW SENSOR o numerach części 1100214, 1100215, 1100216, 1120114, 1120116, 1122524, 1122526 występuje podatność polegająca na ujawnieniu wrażliwych informacji w kodzie źródłowym. Zdalny atakujący może uzyskać informacje o ważnych nazwach użytkowników poprzez analizę kodu źródłowego.
Podatność ujawniania informacji w /be/rpc.php w Jedox 2020.2.5 umożliwia zdalnym, uwierzytelnionym użytkownikom z uprawnieniami do modyfikowania połączeń baz danych odczytanie hasła w postaci jawnego tekstu za pomocą funkcji 'test connection'.
W Webroot SecureAnywhere Endpoint Protection CE 23.1 w wersji 9.0.33.39 i wcześniejszych wykryto problem umożliwiający lokalnemu atakującemu dostęp do wrażliwych informacji za pośrednictwem instalatora EXE. Producent uważa, że nie jest to odrębna podatność względem CVE-2023-29818 i CVE-2023-29819.
W Webroot SecureAnywhere Endpoint Protection CE 23.1 w wersji 9.0.33.39 i wcześniejszych wykryto podatność, która umożliwia lokalnemu atakującemu ominięcie zabezpieczeń za pomocą spreparowanego ładunku.
W Webroot SecureAnywhere Endpoint Protection CE 23.1 w wersji 9.0.33.39 i wcześniejszych, domyślna lista dozwolonych aplikacji jest przechowywana z uprawnieniami nieadministracyjnymi. Lokalny atakujący może wykorzystać tę lukę, aby ominąć zabezpieczenia produktu.
W systemie LavaLite CMS w wersji 9.0.0 wykryto podatność na atak polegający na wstrzyknięciu nagłówka hosta. Atakujący może manipulować nagłówkiem Host w żądaniu HTTP, co może prowadzić do nieautoryzowanych działań.
Podatność Cross Site Scripting (XSS) w Fetlife rollout-ui w wersji 0.5 umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowany URL w funkcji usuwania funkcji.
W module decyzyjnym FICO Origination Manager 4.8.1 wykryto wiele podatności na trwały skrypt krzyżowy (XSS). Umożliwiają one atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez spreparowany ładunek.
W repozytorium GitHub vim/vim przed wersją 9.0.1531 występuje podatność związana z dereferencją wskaźnika NULL.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Umożliwia ona lokalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w funkcji notatek osobistych.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w funkcji 'My Progress'. Lokalny atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona lokalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego kodu za pomocą funkcji strony głównej.
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting). Lokalny atakujący może wykorzystać parametry kategorii kursu do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.