Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Contact Form by Supsystic w wersjach starszych niż 1.10.0.
Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Ultimate Maps by Supsystic w wersjach starszych niż 1.5.0.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Ultimate Maps by Supsystic w wersjach starszych niż 1.5.0.
Nieuwierzytelniona podatność zdalnego dołączania plików w wtyczce Easy Google Maps w wersjach starszych niż 1.14.2.
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce URL Shortify w wersjach do 2.5.0.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Recipe Card Blocks dla Gutenberg i Elementor w wersjach do 3.4.18.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Chaty Pro w wersjach do 3.5.8.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Affiliates Manager w wersjach do 2.9.53.
Nieuwierzytelniona możliwość dowolnego usuwania treści w wtyczce Breeze w wersjach do 2.5.12.
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WordPress Social Login and Register w wersjach do 7.8.1.
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
Podatność SQL Injection w wtyczce License Manager for WooCommerce w wersjach do 3.0.18. Atakujący może wstrzyknąć złośliwy kod SQL przez pole klienta.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w WP Multilang w wersjach do 2.4.31. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w WPDM – Premium Packages w wersjach do 7.0.5. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność nieuwierzytelnionego pobierania dowolnych plików w Extra Product Options & Add-Ons for WooCommerce w wersjach poniżej 7.6. Atakujący może pobrać dowolne pliki z serwera.
W n8n, platformie automatyzacji przepływów pracy, przed wersjami 1.123.64, 2.29.8 i 2.30.1, operacja klonowania węzła Git pozwala uwierzytelnionemu użytkownikowi przepływu pracy na podmianę zweryfikowanego katalogu na dowiązanie symboliczne przed klonowaniem, co umożliwia umieszczenie spreparowanego repozytorium w katalogu węzłów społeczności, które po restarcie ładuje się jako niestandardowy węzeł JavaScript i wykonuje dowolny kod na serwerze.
W Hoppscotch, ekosystemie do tworzenia API, przed wersją 2026.6.0, ścieżki GraphQL team, teamMembers.user, RESTHistory, GQLHistory, currentRESTSession, currentGQLSession, environments, globalEnvironments i settings ujawniają prywatne dane użytkownika innego członka zespołu, a usługi toggleHistoryStatus i removeRequestFromHistory w UserHistory akceptują identyfikator historii innego użytkownika bez sprawdzania własności userUid, co pozwala uwierzytelnionemu członkowi zespołu na odczyt prywatnej historii żądań, danych sesji, treści żądań, nagłówków autoryzacji, wartości środowiskowych i ustawień oraz modyfikację lub usunięcie prywatnych wpisów historii ofiary.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Convert Pro w wersjach do 1.0.1. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
W komponencie governance-policy-addon-controller Red Hat Advanced Cluster Management for Kubernetes, użytkownik z uprawnieniami do adnotacji zasobu namespaced ManagedClusterAddOn może nadpisać obraz kontenera polityki zarządzania. Pozwala to atakującemu uruchomić kontrolowany obraz z uprawnieniami cluster-admin na zarządzanym klastrze, co prowadzi do wykonania dowolnego kodu i eskalacji uprawnień.