Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Moduł Dynamic Data Mapping w Liferay Portal 7.0.0 do 7.3.6 oraz Liferay DXP 7.0 do fix pack 101, 7.1 do fix pack 21, 7.2 do fix pack 10 i 7.3 do fix pack 2 nieprawidłowo ustawia domyślne uprawnienia dla członków witryny. Pozwala to zdalnie uwierzytelnionym użytkownikom z rolą członka witryny na dodawanie i duplikowanie formularzy przez interfejs użytkownika lub API.
W Htmly v2.8.1 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów HTML poprzez spreparowany ładunek w polu treści wpisu na blogu.
W Pluxml w wersji 5.8.7 wykryto podatność na atak typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript lub HTML poprzez spreparowaną ścieżkę miniatury wpisu na blogu.
W bibliotece libslic3r Slic3r w wersji 1.3.0 oraz w commit master b1a5500 występuje wyciek pamięci w klasie PerimeterGenerator. Specjalnie spreparowane pliki STL mogą wyczerpać dostępną pamięć.
Podatność na atak XSS w parametrze fileNameStr biblioteki jQuery-Upload-File w wersji 4.0.11. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez spreparowaną nazwę pliku.
W serwerze Core FTP/SFTP w wersji 2 Build 725 odkryto lukę, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi (DoS) poprzez wysłanie spreparowanego pakietu przez usługę SSH.
W JerryScript w funkcji parser_parse_function_arguments w pliku js/js-parser.c występuje błąd asercji, który może prowadzić do awarii interpretera JavaScript.
OCS Inventory 2.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę, manipulując nazwą urządzenia (np. drukarki) na komputerze ofiary, zastępując ją złośliwym kodem.
W aplikacji XMPie UStore w wersji 12.3.7244.0 odkryto trwałą podatność na ataki XSS w panelu administracyjnym podczas edycji użytkowników. Podatność występuje w dwóch polach wejściowych, umożliwiając wstrzyknięcie złośliwego skryptu.
W aplikacji internetowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta występuje odbita podatność na atak typu cross-site scripting (XSS). Zdalny, nieuwierzytelniony atakujący może wykonać kod na urządzeniu ofiary, wysyłając jej specjalnie spreparowany URL.
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
Podatność na odbity atak XSS w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest odzwierciedlany na stronie bez odpowiedniej sanityzacji.
Podatność SQL Injection w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL, co może prowadzić do nieautoryzowanego dostępu do dodatkowych rekordów audytu.
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
W wersji 1.4.0 Trusted Firmware-M (TF-M) przy użyciu profilu Small występuje nieprawidłowa kontrola dostępu. NSPE może uzyskać dostęp do zabezpieczonego klucza (przechowywanego przez usługę Crypto) jedynie na podstawie znajomości jego identyfikatora klucza.
Fluxbb w wersji 1.4.12 zawiera podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
W Opmantek Open-AudIT 4.2.0 wykryto problem z ujawnieniem informacji. Uwierzytelniony atakujący może odczytać pliki poza ograniczonym katalogiem.
Wersje Apache Log4j2 od 2.0-beta7 do 2.17.0 (z wyłączeniem poprawek bezpieczeństwa 2.3.2 i 2.12.4) są podatne na atak zdalnego wykonania kodu (RCE) przy użyciu konfiguracji z JDBC Appender i źródłem danych JNDI LDAP, gdy atakujący ma kontrolę nad docelowym serwerem LDAP. Problem został rozwiązany poprzez ograniczenie nazw źródeł danych JNDI do protokołu java w wersjach Log4j2 2.17.1, 2.12.4 i 2.3.2.
W systemie S-CMS Government Station Building System v5.0 wykryto podatność na atak XSS w pliku /function/booksave.php. Umożliwia ona wstrzyknięcie złośliwego skryptu po stronie klienta.