Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Templately w wersjach do 3.7.1. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Nieuwierzytelniony atak CSRF w wtyczce Slider by 10Web w wersjach do 1.2.62. Atakujący może wykorzystać podatność do wykonania niepożądanych działań w kontekście zalogowanego administratora.
Nieuwierzytelniony atak XSS w pakiecie Fluent Forms Pro Add On Pack w wersjach starszych niż 6.2.12. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Nieuwierzytelniony atak XSS w bibliotece Kirki w wersjach do 6.2.3. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Nieuwierzytelniona podatność SQL Injection w Depicter Slider w wersjach do 4.8.0. Atakujący może wstrzyknąć złośliwe zapytania SQL do bazy danych.
Nieuwierzytelniony atak XSS w Ultimate Dashboard w wersjach do 3.11.2. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Podatność PHP Object Injection w OptionTree w wersjach do 2.7.3, wymagająca uprawnień edytora. Atakujący może wstrzyknąć zserializowane obiekty PHP, co może prowadzić do wykonania dowolnego kodu.
Podatność na odmowę usługi w bibliotece Expat do wersji 2.8.3. Funkcja storeAtts() w xmlparse.c ma złożoność kwadratową, co przy przetwarzaniu dokumentu XML z wieloma atrybutami o nieznormalizowanych wartościach prowadzi do nadmiernego zużycia CPU.
Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.
Podatność w sterowniku Watchdog Timer firmy Dell w wersjach przed 2.0.0.1. Ujawniony IOCTL z niewystarczającą kontrolą dostępu pozwala użytkownikowi z niskimi uprawnieniami na eskalację uprawnień.
Podatność w Mastodonie przed wersjami 4.4.19 i 4.5.12. Plik ldap_authenticable.rb modyfikuje globalne parametry OpenSSL, gdy LDAP używa LDAP_TLS_NO_VERIFY=true, wyłączając weryfikację certyfikatów SSL/TLS dla procesów puma.
Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.
Oh My Zsh, framework do zarządzania konfiguracją Zsh, ma podatność w pluginie dotenv. Po zmianie katalogu na folder zawierający plik .env, zawartość tego pliku jest wykonywana jako polecenia powłoki z uprawnieniami bieżącego użytkownika, nawet bez monitu, gdy ZSH_DOTENV_PROMPT=false lub po domyślnym potwierdzeniu. Problem został naprawiony w wersjach wydanych po 2026-05-28.
goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.
SSH.NET, biblioteka SSH dla .NET, ma podatność w ScpClient.Download, która ufa nazwom plików i katalogów zwracanym przez zdalny serwer SCP. Złośliwy lub przejęty serwer może użyć sekwencji ../ lub ścieżek bezwzględnych do tworzenia lub nadpisywania plików w dowolnym miejscu zapisywalnym przez proces klienta. Problem naprawiono w wersji 2026.0.0.
Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.
OttoKit w wersjach do 1.1.35 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.
ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.
BP Better Messages w wersjach do 2.15.22 zawiera podatność Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Ezoic w wersjach do 2.22.11 zawiera podatność Broken Authentication bez uwierzytelnienia. Atakujący może obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.