Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.05)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie S-CMS Government Station Building System v5.0 wykryto podatność na atak typu cross-site scripting (XSS) w funkcji wyszukiwania. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.
Wersje Apache Log4j2 od 2.0-alpha1 do 2.16.0 (z wyjątkiem 2.12.3 i 2.3.1) nie chroniły przed niekontrolowaną rekurencją w przypadku samoodwołujących się wyszukiwań. Umożliwia to atakującemu, który ma kontrolę nad danymi w Thread Context Map, spowodowanie odmowy usługi podczas interpretacji spreparowanego ciągu.
W systemie Verint Workforce Optimization (WFO) w wersji 15.2.8.10048 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez parametr NEWUINAV w ścieżce control/my_notifications. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W systemie Genesys Workforce Management 8.5.214.20 wykryto podatność na atak XSS podczas usuwania rekordów, wykorzystującą parametr Time-off. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W LimeSurvey 3.6.2+180406 odkryto podatność na atak XSS w skrypcie theme.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub HTML poprzez parametr changes_cp w żądaniu do URI index.php/admin/themes/sa/templatesavechanges.
W module przekierowań Racktables w wersji 0.21.2 występuje podatność na atak XSS. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr op.
W aplikacji Mahavitaran na Androida w wersji 7.50 i niższych odkryto podatność, która umożliwia lokalnym atakującym odczytanie nazwy użytkownika i hasła w postaci jawnego tekstu podczas zalogowania użytkownika.
W systemie Chamilo LMS w wersji 1.11.14 wykryto podatność na atak typu Cross Site Scripting (XSS) w pliku /plugin/jcapture/applet.php. Atakujący może wykorzystać tę lukę, przekazując w ciasteczku (cookie) zakodowany w hex ciąg znaków.
Podatność IDOR w systemie ICREM H8 SSRMS umożliwia nieautoryzowany dostęp do wrażliwych informacji poprzez funkcję drukowania faktur. Atakujący może wykorzystać tę lukę do odczytu danych bez odpowiednich uprawnień.
Wszystkie wersje GitLab CE/EE przed 14.2.6, wersje od 14.3 do 14.3.4 oraz wersje od 14.4 do 14.4.1 przypadkowo logują hasło roota systemu w logach migracji. To umożliwia atakującemu z dostępem do lokalnego systemu plików uzyskanie uprawnień na poziomie roota.
W podatności CVE-2021-39904 występuje niewłaściwa kontrola dostępu w API GraphQL we wszystkich wersjach GitLab CE/EE od 13.1 do 14.2.6, od 14.3 do 14.3.4 oraz od 14.4 do 14.4.1. Umożliwia to twórcy Merge Requesta rozwiązywanie dyskusji i stosowanie sugestii po zablokowaniu Merge Requesta przez właściciela projektu.
Podatność XSS w Pandora FMS do wersji 755 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez stworzenie nowego filtra zdarzeń z odpowiednio spreparowaną nazwą.
Podatność w Artica Pandora FMS do wersji 755 pozwala administratorowi nadpisać plik .htaccess za pomocą komponentu File Manager. Nowy plik .htaccess zawiera regułę przepisywania z definicją typu pliku, co umożliwia przesłanie zwykłego pliku PHP i wykonanie kodu poprzez żądanie HTTP.
W programie SpotAuditor 5.3.5 firmy Nsasoft US LLC odkryto podatność polegającą na możliwości spowodowania awarii aplikacji poprzez wprowadzenie 300 bajtów danych znakowych w pole 'Key' lub 'Name' podczas rejestracji.
W systemie DynPG 4.9.1 wykryto podatność na atak XSS (Cross Site Scripting). Uwierzytelniony atakujący może wykorzystać parametr groupname do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele refleksyjnych podatności na ataki typu Cross-Site Scripting (XSS) poprzez parametr videoName. Umożliwia to zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele odbitych podatności typu Cross-Site Scripting (XSS) przez parametr 'u'. Zdalny atakujący może wykorzystać tę lukę do kradzieży ciasteczek sesji administratora lub wykonywania działań z jego uprawnieniami.
W AVideo/YouPHPTube 10.0 i wcześniejszych wersjach występuje wiele odbitych podatności typu Cross-Site Scripting (XSS) poprzez parametr searchPhrase. Umożliwiają one zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
W interfejsach webowych routera D-Link DIR-868LW w wersji 1.12b brakuje wymogów uwierzytelniania, co umożliwia atakującym dostęp do historii zapytań DNS użytkowników.
W produkcie Oracle PeopleSoft Enterprise CS Campus Community (komponent Notification Framework) w wersjach 9.0 i 9.2 istnieje podatność. Niskouprzywilejowany atakujący z dostępem do fizycznego segmentu komunikacji może uzyskać nieautoryzowany dostęp do krytycznych danych lub pełny dostęp do wszystkich danych.