Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Odkryto podatność na atak XSS w serwerze BigAnt Server w wersji 5.6.06. Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu do strony internetowej.
BigAnt Server w wersji 5.6.06 używa słabych funkcji skrótu do przechowywania haseł, co ułatwia ich odtworzenie.
W MISP przed wersją 2.4.156 zidentyfikowano problem związany z logo organizacji w formacie SVG, które domyślnie nie ma zakazu używania JavaScript.
W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.
SmartBear CodeCollaborator w wersji 6.1.6102 zawiera podatność w interfejsie webowym, która umożliwia atak typu clickjacking. Atakujący może nakłonić użytkownika do kliknięcia w pozornie nieszkodliwy element, wykonując nieautoryzowane działania.
W systemie Intelliants Subrion CMS w wersji 4.2.1 wykryto podatność na ataki typu Cross Site Scripting (XSS) w panelu konfiguracji. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, który może być wykonany w przeglądarce administratora.
W CMS Subrion 4.2.1 w szablonie Kickstart parametr q jest podatny na atak XSS (Cross Site Scripting). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.
W interfejsie administracyjnym HTTP Commander 7.0.0 firmy Element-IT wykryto podatność na trwałe cross-site scripting (XSS). Nieuwierzytelniony użytkownik może wstrzyknąć złośliwy skrypt w pole User-Agent, co prowadzi do uzyskania dostępu administracyjnego.
Moduł Remote App w Liferay Portal i Liferay DXP nie weryfikuje pochodzenia wiadomości zdarzeń, co umożliwia atakującym kradzież tokena CSRF poprzez spreparowaną wiadomość.
Podatność na atak XSS w module Gogo Shell w Liferay Portal 7.1.0-7.3.6 i 7.4.0 oraz Liferay DXP 7.1-7.3 przed odpowiednimi poprawkami. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez wynik polecenia Gogo Shell.
Podatność na atak XSS w module Blogów portalu Liferay Portal 7.3.2–7.3.6 oraz Liferay DXP 7.3 przed fix pack 2. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametry tytułu i podtytułu na stronie edycji wpisu bloga.
Podatność na atak typu Cross-site scripting (XSS) w module Asset w Liferay Portal 7.3.4 do 7.3.6 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML podczas tworzenia strony kolekcji za pomocą parametru _com_liferay_asset_list_web_portlet_AssetListPortlet_title.
Podatność na skrypty między witrynami (XSS) w module Frontend Taglib w Liferay Portal 7.4.0 i 7.4.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML do paska wyszukiwania w panelu zarządzania poprzez parametr `keywords`. Problem wynika z niekompletnej poprawki dla CVE-2021-35463.
Podatność na atak typu Cross-site scripting (XSS) w konsoli skryptów modułu serwera Liferay Portal 7.3.2 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 101, 7.1 przed fix pack 20 i 7.2 przed fix pack 10. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez wynik działania skryptu.
Moduł Dynamic Data Mapping w Liferay Portal 7.0.0 do 7.3.6 oraz Liferay DXP 7.0 do fix pack 101, 7.1 do fix pack 21, 7.2 do fix pack 10 i 7.3 do fix pack 2 nieprawidłowo ustawia domyślne uprawnienia dla członków witryny. Pozwala to zdalnie uwierzytelnionym użytkownikom z rolą członka witryny na dodawanie i duplikowanie formularzy przez interfejs użytkownika lub API.
W Htmly v2.8.1 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów HTML poprzez spreparowany ładunek w polu treści wpisu na blogu.
W Pluxml w wersji 5.8.7 wykryto podatność na atak typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript lub HTML poprzez spreparowaną ścieżkę miniatury wpisu na blogu.
W bibliotece libslic3r Slic3r w wersji 1.3.0 oraz w commit master b1a5500 występuje wyciek pamięci w klasie PerimeterGenerator. Specjalnie spreparowane pliki STL mogą wyczerpać dostępną pamięć.
Podatność na atak XSS w parametrze fileNameStr biblioteki jQuery-Upload-File w wersji 4.0.11. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez spreparowaną nazwę pliku.
W serwerze Core FTP/SFTP w wersji 2 Build 725 odkryto lukę, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi (DoS) poprzez wysłanie spreparowanego pakietu przez usługę SSH.