Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SSRF w module importu danych Heartex Label Studio Community Edition w wersjach 1.5.0 i wcześniejszych umożliwia uwierzytelnionemu użytkownikowi dostęp do dowolnych plików w systemie. Dodatkowo domyślnie włączona samorejestracja pozwala zdalnemu atakującemu na utworzenie konta i wykorzystanie tej luki.
W systemie Bus Pass Management System v1.0 wykryto podatność na odbity atak XSS poprzez parametr searchdata. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W Academy Learning Management System przed wersją 5.9.1 odkryto podatność na odbity atak XSS poprzez parametr Search. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W module tłumaczeń Liferay Portal w wersjach 7.4.3.12 do 7.4.3.36 oraz Liferay DXP 7.4 update 8 do 36 brakuje sprawdzania uprawnień przed umożliwieniem użytkownikowi eksportu treści strony do tłumaczenia. Umożliwia to atakującym pobranie pliku XLIFF z tłumaczeniem strony poprzez spreparowany URL.
W Liferay Portal w wersji 7.4.3.4 oraz Liferay DXP w wersji 7.4 GA wykryto wiele podatności na ataki typu cross-site scripting (XSS). Umożliwiają one atakującym wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez parametry z prefiksem "filter_".
Funkcja HtmlUtil.escapeRedirect w Liferay Portal 7.3.1 do 7.4.2 oraz Liferay DXP 7.0-7.3 może zostać ominięta przez użycie wielu ukośników, co umożliwia atakującym przekierowanie użytkowników do dowolnych zewnętrznych adresów URL za pomocą parametrów takich jak 'redirect' czy 'FORWARD_URL'.
Moduł Layout w Liferay Portal v7.3.3 do v7.4.3.34 oraz Liferay DXP 7.3 przed aktualizacją 10 i 7.4 przed aktualizacją 35 nie sprawdza uprawnień użytkownika przed wyświetleniem podglądu strony typu "Content Page", co pozwala atakującym na przeglądanie nieopublikowanych stron poprzez manipulację URL.
W Liferay Portal w wersjach od 7.3.3 do 7.4.2 oraz w Liferay DXP w wersji 7.3 przed dodatkiem Service Pack 3 wykryto podatność na ataki XSS. Atakujący może wstrzyknąć złośliwy kod HTML lub JavaScript poprzez nazwę tagu.
Liferay Portal w wersjach od 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 zawiera podatność na cross-site scripting (XSS) w widżecie Custom Facet modułu Portal Search. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez pole tekstowe Custom Parameter Name.
W Liferay Portal 7.0.1 do 7.4.1 oraz Liferay DXP 7.0 przed fix pack 102, 7.1 przed fix pack 26, 7.2 przed fix pack 15 i 7.3 przed service pack 3 wykryto podatność na trwały XSS w panelu administracji członkostwem użytkowników modułu Site. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez nazwę użytkownika.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na atak XSS w pliku newProjectValidation.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML poprzez parametr shortName.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na atak XSS w pliku newProjectValidation.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML poprzez parametr fullName.
W systemie Simple Task Managing System v1.0 wykryto podatność na atak XSS w pliku newTask.php. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML poprzez parametr shortName.
Craft CMS w wersji 4.2.0.1 zawiera podatność na atak XSS (Cross-Site Scripting) poprzez funkcję Drafts. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Podatność XSS w Genesys PureConnect Interaction Web Tools Chat Service (do wersji z 26 września 2019) umożliwia wstrzyknięcie złośliwego skryptu przez parametr JSON 'participant -> name' w funkcji drukowania historii czatu.
Oprogramowanie Syncovery 9 dla systemu Linux w wersji 9.47x i niższych zawiera podatność na atak typu cross-site scripting (XSS). Luka ta może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu do interfejsu użytkownika.
W oprogramowaniu Qsmart Next w wersji 4.1.2 wykryto podatność na atak typu cross-site scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony internetowej.
W oprogramowaniu MSI Feature Navigator w wersji 1.0.1808.0901 wykryto podatność umożliwiającą atakującemu pobieranie dowolnych plików z systemu, niezależnie od ich typu lub rozmiaru.
Podatność typu Path Traversal w SmartVista Cardgen v3.28.0 umożliwia uwierzytelnionym atakującym odczyt dowolnych plików w systemie.
Podatność w platformie PlexTrac przed wersją 1.28.0 umożliwia enumerację nazw użytkowników poprzez różnice w czasie odpowiedzi HTTP przy nieudanych próbach logowania dla kont skonfigurowanych z dostawcą uwierzytelniania PlexTrac. Niezautoryzowany zdalny atakujący może zidentyfikować prawidłowe, odblokowane konta użytkowników.