Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.
Niewystarczające egzekwowanie polityki w DevTools w Google Chrome na systemie Windows przed wersją 103.0.5060.53 umożliwia atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, uzyskanie potencjalnie wrażliwych informacji z lokalnych plików użytkownika za pomocą spreparowanej strony HTML.
W systemie Online Fire Reporting System v1.0 wykryto podatność na atak XSS w skrypcie /index.php/?p=report. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML przez pole tekstowe "Contac #".
Podatność na atak typu Cross Site Scripting (XSS) w systemie Gollum w wersjach od 5.0 do 5.1.2. Atak jest możliwy poprzez parametr nazwy pliku w oknie dialogowym 'Nowa strona'.
W osTicket-plugins Storage-FS przed commit a7842d494889fd5533d13deb3c6a7789768795ae wykryto podatność na trwały atak XSS w komponencie audit/class.audit.php. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez spreparowany plik SVG.
W systemie Mediacenter firmy EGT-Kommunikationstechnik UG przed wersją 2.0 wykryto podatność na ataki XSS w komponencie Online_Update.php. Umożliwia ona wstrzykiwanie złośliwych skryptów do strony.
Magnolia CMS w wersji 6.2.19 zawiera podatność na atak XSS w funkcji edycji kontaktu. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez przesłanie spreparowanego dokumentu SVG jako zdjęcia profilowego.
Podatność w iTop VPN 3.2 pozwala atakującemu na przejęcie tokena innego użytkownika poprzez utworzenie nazwanego potoku o tej samej nazwie, co używany przez komponent iTopVPNmini.exe. Atakujący nasłuchuje połączeń i nadużywa funkcji ImpersonateNamedPipeClient().
W produktach IObit (Advanced System Care 15, iTop Screen Recorder 2.1, iTop VPN 3.2, Driver Booster 9, iTop Screenshot) procedura aktualizacji pobiera plik konfiguracyjny przez niezabezpieczone połączenie HTTP. Atakujący może przechwycić tę komunikację i podmienić plik konfiguracyjny, wskazując złośliwe lokalizacje aktualizacji, co prowadzi do zdalnego wykonania kodu z uprawnieniami administratora.
W systemie Zoo Management System v1.0 w funkcji dodawania klasyfikacji wykryto podatność na trwały atak XSS. Umożliwia ona atakującemu wstrzyknięcie złośliwych skryptów lub kodu HTML.
W systemie Zoo Management System 1.0 od SourceCodester wykryto podatność na atak XSS (Cross Site Scripting) poprzez parametr msg w skrypcie register_visitor. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W LightCMS v1.3.11 odkryto podatność na trwały atak XSS, umożliwiającą atakującym wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez przesłanie spreparowanego pliku PDF.
W oprogramowaniu Ruckus Wireless ZoneDirector w wersji 9.8.3.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu do interfejsu zarządzania.
W kliencie poczty Galaxkey Secure Mail Client do wersji 5.6.11.5 występuje trwały XSS. Atakujący może przechwycić żądanie HTTP POST podczas wysyłania wiadomości i wstrzyknąć złośliwy kod w pole 'subject', który wykona się po zalogowaniu odbiorcy.
Brak kontroli dostępu w systemie kopii zapasowych Telesoft VitalPBX przed wersją 3.2.1 umożliwia atakującym dostęp do danych uwierzytelniających rozszerzeń PJSIP i SIP, kluczy kryptograficznych oraz plików poczty głosowej poprzez nieokreślone wektory.
Unioncms w wersji 1.0.13 zawiera podatność na trwały atak XSS w ustawieniach domyślnych. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora.
ASG-Zena Cross Platform Server Enterprise Edition 4.2.1 zawiera podatność na ataki XSS, umożliwiającą wstrzyknięcie złośliwego skryptu.
PEEL Shopping CMS 9.4.0 zawiera podatność na wstrzykiwanie SQL w pliku utilisateurs.php. Uwierzytelniony użytkownik z grupy administratorów może wstrzyknąć złośliwe zapytanie SQL, wpływając na logikę aplikacji i uzyskując dostęp do danych z bazy.
W Connx w wersji 6.2.0.1269 (20210623) aplikacja może wydać ciasteczko bez ustawienia flagi Secure. Oznacza to, że ciasteczko może być przesyłane przez niezabezpieczone połączenia HTTP.
W Connx w wersji 6.2.0.1269 (20210623) aplikacja może wydać ciasteczko bez ustawionej flagi HttpOnly. Brak tej flagi umożliwia potencjalny dostęp do ciasteczka przez skrypty po stronie klienta.