Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu Path Traversal w SmartVista Cardgen v3.28.0 umożliwia uwierzytelnionym atakującym odczyt dowolnych plików w systemie.
Podatność w platformie PlexTrac przed wersją 1.28.0 umożliwia enumerację nazw użytkowników poprzez różnice w czasie odpowiedzi HTTP przy nieudanych próbach logowania dla kont skonfigurowanych z dostawcą uwierzytelniania PlexTrac. Niezautoryzowany zdalny atakujący może zidentyfikować prawidłowe, odblokowane konta użytkowników.
Podatność CVE-2022-36083 dotyczy algorytmów zarządzania kluczami JWE opartych na PBKDF2, które mogą być wykorzystywane do przeprowadzenia ataków typu brute-force poprzez manipulację parametrem `p2c`. W przypadku nieodpowiednich ustawień, atakujący może wymusić nieproporcjonalne zużycie zasobów CPU podczas deszyfrowania JWE.
W Kirby 2.5.12 wykryto podatność CSRF w funkcji usuwania stron. Zdalny atakujący może stworzyć złośliwą stronę CSRF i zmusić użytkownika do usunięcia strony.
Podatność pozwala uwierzytelnionemu użytkownikowi na odczytanie wrażliwych danych sesji przechowywanych w bazie OAuth w postaci jawnego tekstu. Dotyczy to urządzenia, które nie szyfruje tych informacji.
W AMQ Broker znaleziono lukę, która może prowadzić do częściowego zakłócenia dostępności systemu z powodu stanu braku pamięci (OOM). Atakujący może częściowo zakłócić dostępność brokera poprzez długotrwały atak z użyciem złośliwie skonstruowanych wiadomości.
W Apache ActiveMQ Artemis przed wersją 2.24.0, atakujący mógł wyświetlić złośliwą treść i/lub przekierować użytkowników na złośliwy adres URL w konsoli webowej, wykorzystując HTML w nazwie adresu lub kolejki.
Nieuwierzytelniony atakujący może spowodować odmowę usługi (DoS) w routerze D-Link DSL-3782 poprzez wysłanie spreparowanego żądania HTTP. Podatność występuje w oprogramowaniu sprzętowym w wersji v1.01.
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.
W systemie BPC SmartVista w wersji 3.28.0 wykryto wiele podatności na odbity atak XSS. Błędy te występują podczas obsługi komunikatów błędów, co umożliwia atakującemu wykonanie kodu JavaScript po stronie klienta.
W routerze Tenda AC9 w wersji oprogramowania V15.03.2.13 odkryto podatność na przepełnienie bufora w procesie httpd. Problem występuje w funkcji form_fast_setting_wifi_set, co może pozwolić atakującemu na zdalne wykonanie kodu.
Podatność w Mealie 1.0.0beta3 polega na braku unieważniania tokenów pobierania po wylogowaniu użytkownika. Umożliwia to atakującemu przeprowadzenie ataku typu man-in-the-middle poprzez spreparowane żądanie GET.
W systemie rageframe2 w wersji 2.6.37 odkryto podatność na atak XSS (Cross-Site Scripting). Luka występuje w parametrach związanych z agentem użytkownika na stronie info.php.
Podatność na trwały atak XSS w polu "Field Server Address" w oprogramowaniu INTELBRAS ATA 200 w wersji 74.19.10.21 umożliwia uwierzytelnionym atakującym wstrzyknięcie kodu JavaScript poprzez spreparowane dane wejściowe.
W EyouCMS w wersji 1.5.8 odkryto podatność typu Storage XSS, która pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie specjalnego ładunku za pomocą parametru tytułu w formularzu zgłoszenia na stronie.
Podatność w Simcenter STAR-CCM+ ujawnia nazwę użytkownika, hosta i wyświetlacza, gdy używany jest publiczny serwer licencji Power-on-Demand. Atakujący może zdalnie uzyskać te informacje.
Podatność na atak typu Cross-site scripting (XSS) w funkcji wyszukiwania JSON w sklepie internetowym eShop - Multipurpose Ecommerce Store Website w wersji 3.0.4. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr get_products?search.
Wykryto podatność typu Denial-of-Service w produktach F-Secure Atlant oraz niektórych produktach WithSecure, która może prowadzić do awarii silnika skanującego podczas analizy zniekształconych plików PE32-bit. Atakujący może zdalnie wywołać ten błąd.
W Moodle przed wersjami 3.8.2, 3.7.5, 3.6.9 i 3.5.11, użytkownicy przeglądający raport historii ocen bez uprawnienia 'dostęp do wszystkich grup' mogli zobaczyć oceny użytkowników z innych grup.
W PyroCMS w wersji 3.9 odkryto wiele podatności na ataki typu cross-site scripting (XSS).