Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.20)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka systemu rezerwacji Salon dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji SLN_Action_Ajax_ImportAssistants oraz braku kontroli autoryzacji we wszystkich wersjach do 10.2 włącznie. To umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.
Wtyczka WordPress Picture / Portfolio / Media Gallery jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 3.0.1, wykorzystując funkcję 'file_get_contents'. Umożliwia to nieautoryzowanym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z aplikacji webowej.
vCenter Server zawiera podatność przepełnienia sterty w implementacji protokołu DCERPC. Złośliwy aktor z dostępem sieciowym do vCenter Server może wywołać tę podatność, wysyłając specjalnie spreparowany pakiet sieciowy, co potencjalnie prowadzi do zdalnego wykonania kodu.
Podatność w oprogramowaniu Jlink AX1800 firmy JLINK Unionman Technology Co. Ltd umożliwia zdalnemu atakującemu eskalację uprawnień poprzez wysłanie spreparowanego polecenia. Luka wynika z nieprawidłowo skonfigurowanych uprawnień dostępu.
W routerze JLINK AX1800 firmy Unionman Technology Co. Ltd w wersji 1.0 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez mechanizm uwierzytelniania urządzenia.
DeepJavaLibrary (DJL) to framework do głębokiego uczenia w Javie, który w wersjach od 0.1.0 do 0.27.0 nie zapobiega wstawianiu archiwalnych plików z absolutnymi ścieżkami bezpośrednio do systemu, co może prowadzić do nadpisania plików systemowych. Problem został naprawiony w wersji DJL 0.28.0 oraz załatany w kontenerach DJL Large Model Inference w wersji 0.27.0.
W projekcie Strimzi w wersji 0.41.0 i wcześniejszych wykryto nieprawidłową kontrolę dostępu w interfejsie API REST Kafka Connect. Luka umożliwia atakującemu przeprowadzenie ataku DoS na mirrorowanie Kafki, potencjalne skopiowanie zawartości tematów do własnego klastra Kafki (z pominięciem list ACL) oraz kradzież poświadczeń SASL poprzez zapytania do API REST MirrorMaker.
Problem z zanieczyszczeniem prototypu w getsetprop w wersji 1.1.0 umożliwia atakującemu wykonanie dowolnego kodu za pomocą global.accessor.
W wersjach przed 0.0.4 biblioteki almela obx występuje problem z zanieczyszczeniem prototypu, który umożliwia wykonanie dowolnego kodu. Problem ten dotyczy komponentów w plikach obx/build/index.js.
Wersja 1.0.11 biblioteki alexbinary object-deep-assign jest podatna na zanieczyszczenie prototypu poprzez metodę extend() w Module.deepAssign (/src/index.js).
Problem z zanieczyszczeniem prototypu w cdr0 sg w wersji 1.0.10 umożliwia atakującemu wykonanie dowolnego kodu.
MailGates i MailAudit firmy Openfind nieprawidłowo filtrują dane wejściowe użytkownika podczas analizy załączników e-mail. Nieautoryzowany zdalny atakujący może wykorzystać tę podatność do wstrzykiwania poleceń systemowych i ich wykonywania na zdalnym serwerze.
Niektóre urządzenia GeoVision po zakończeniu wsparcia (EOL) nie filtrują prawidłowo danych wejściowych użytkownika w określonej funkcjonalności. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania dowolnych poleceń systemowych na urządzeniu.
Nieprawidłowe ustawienia uprawnień dla aplikacji mobilnej (com.transsion.carlcare) mogą prowadzić do ryzyka związanego z bezpieczeństwem haseł i kont użytkowników.
Wersje GNU Global do 6.6.12 mają lukę, która pozwala na wykonanie kodu w sytuacjach, gdy ścieżka bazy danych (dbpath) jest nieufna, ponieważ mogą być używane metaznaki powłoki.
Wtyczka Video Gallery – YouTube Playlist, Channel Gallery autorstwa YotuWP dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 1.3.13 poprzez parametr ustawień. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.
Wtyczka Woody code snippets – Insert Header Footer Code, AdSense Ads dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 2.5.0 poprzez shortcode 'insert_php'. Problem wynika z braku ograniczeń w dostępie do tej funkcjonalności dla użytkowników z wysokimi uprawnieniami.
Wtyczka WooCommerce - Social Login dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do i włącznie z 2.6.2 poprzez deserializację nieufnych danych wejściowych z podatnego parametru 'woo_slg_verify'. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.
W oprogramowaniu układowym TerraMaster TOS w wersji do 5.1 występują twardo zakodowane dane uwierzytelniające, które umożliwiają zdalnemu atakującemu pomyślne zalogowanie się do serwera pocztowego lub webmail. Te same dane mogą być również wykorzystane do logowania się do panelu administracyjnego i wykonywania działań z uprawnieniami administratora.
Nieprawidłowa kontrola dostępu w interfejsie UART/Serial w routerze LB-LINK BL-W1210M v2.0 umożliwia atakującym dostęp do terminala root bez uwierzytelnienia.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS