Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność Cross Site Scripting (XSS) w systemie yzmcms 6.1 umożliwia atakującym kradzież ciasteczek użytkowników poprzez funkcję przycinania obrazów.
W Notepad++ w wersji 8.4.1 odkryto przepełnienie stosu w komponencie Finder::add(). Podatność może być wykorzystana do zdalnego wykonania kodu lub spowodowania awarii aplikacji.
W komponencie AP PageBuilder firmy ApolloTheme do wersji 2.4.4 wykryto podatność na atak typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów internetowych lub wstrzyknięcie kodu HTML poprzez spreparowany ładunek umieszczony w parametrze show_number.
Podatność względnego przechodzenia po ścieżkach (relative path traversal) w Eclipse GlassFish wersje 5.1.0 do 6.2.5. Nieuwierzytelniony atakujący zdalnie może uzyskać dostęp do plików konfiguracyjnych i kodu źródłowego aplikacji. Naprawione w GlassFish 7.0.0.
W MISP w wersji do 2.4.167 występuje podatność XSS w pliku app/View/AuthKeys/authkey_display.ctp, która może być wykorzystana poprzez pole Referer podczas dodawania klucza autoryzacyjnego.
W MISP w wersji 2.4.167 występuje podatność XSS, która umożliwia atak poprzez nazwę historii sieci w pliku app/webroot/js/action_table.js.
W ReQlogic w wersji 11.3 wykryto wiele podatności na ataki XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametry POBatch i WaitDuration.
Podatność CRLF w interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 w parametrze hasła funkcji View License Result umożliwia zdalnym atakującym wstrzykiwanie dowolnych nagłówków HTTP.
W interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 wykryto podatność SSRF. Umożliwia ona zdalnemu atakującemu wysyłanie żądań do serwerów wewnętrznych oraz skanowanie portów za pomocą parametru actserver w funkcji aktywacji licencji.
W urządzeniu OKER G955V1 w wersji oprogramowania v1.03.02.20161128 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Fizyczny atakujący może przerwać sekwencję uruchamiania i wykonać dowolne polecenia z uprawnieniami roota.
Wykorzystanie uszkodzonego lub ryzykownego algorytmu kryptograficznego w funkcji mbedtls_mpi_exp_mod() w pliku lignum.c w Mbed TLS we wszystkich wersjach przed 3.0.0, 2.27.0 lub 2.16.11 umożliwia atakującym, posiadającym dostęp do wystarczająco precyzyjnych informacji o czasie i dostępie do pamięci, odzyskanie kluczy prywatnych używanych w RSA.
Podatność XSS w Typora do wersji 1.3.8 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez dokument zawierający element SVG z atrybutem onload. Po wyeksportowaniu i otwarciu takiego dokumentu przez ofiarę, kod wykonuje się w kontekście jej przeglądarki.
W MISP przed wersją 2.4.167 występuje podatność XSS w pliku szablonu do przesyłania plików w app/View/Templates/upload_file.ctp.
Podatność na skryptowanie między witrynami (XSS) w NdkAdvancedCustomizationFields v3.5.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanych danych do parametru 'htmlNodes'.
W systemie Employee Performance Evaluation System v1.0 wykryto podatność na trwały atak XSS (cross-site scripting) w module Departments and Designations. Atakujący może wstrzyknąć złośliwy skrypt podczas dodawania nowych wpisów.
W optee_os w TrustedFirmware Open Portable Trusted Execution Environment (OP-TEE) przed wersją 3.20 występuje niechroniona operacja dostępu do pamięci, która pozwala fizycznie bliskiemu przeciwnikowi na ominięcie weryfikacji podpisu i zainstalowanie złośliwych aplikacji zaufanych za pomocą wstrzyknięć zakłóceń elektromagnetycznych.
W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem, który pozwala atakującemu na odzyskanie prywatnego klucza RSA po zaobserwowaniu jednego działania z użyciem klucza prywatnego. Warunkiem jest, aby rozmiar okna (MBEDTLS_MPI_WINDOW_SIZE) używanego do eksponentacji wynosił 3 lub mniej.
Resque Scheduler w wersji 1.27.4 jest podatny na atak typu Cross-site scripting (XSS). Zdalny atakujący może wstrzyknąć kod JavaScript do parametrów "schedule_job" lub "args" w endpointcie /resque/delayed/jobs/{schedule_job}?args={args_id}, co prowadzi do wykonania skryptu po stronie klienta.
W PcVue w wersjach od 8.10 do 15.2.3 wykryto podatność polegającą na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Nieuprawniony użytkownik mający dostęp do plików konfiguracyjnych kont e-mail i SMS może odkryć poświadczenia konta SMTP oraz kod PIN karty SIM.
W PcVue w wersjach od 15 do 15.2.2 wykryto podatność polegającą na wstawianiu poufnych informacji do plików dziennika. Użytkownik mający dostęp do tych plików może odkryć ciągi połączeń źródeł danych skonfigurowanych dla DbConnect, które mogą zawierać poświadczenia.