Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność typu przepełnienie bufora w CSAPP_Lab CSAPP Lab3 15-213 Fall 20xx umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent lab3/buflab-update.pl.
W Mbed TLS w wersjach od 3.3.0 do 3.5.2 przed 3.6.0, złośliwy klient może spowodować ujawnienie informacji lub odmowę usługi z powodu nadmiernego odczytu bufora stosu (mniej niż 256 bajtów) w serwerze TLS 1.3 poprzez wiadomość TLS 3.1 ClientHello.
Podatność typu Server Side Request Forgery (SSRF) w wersjach Friendica po v.2023.12 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji za pośrednictwem komponentu fpostit.php.
W wersji 8 seeyonOA odkryto problem, który pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez metodę importProcess w komponencie WorkFlowDesignerController.class.
W jądrze Linux w funkcjach tuneli (np. VXLAN) występuje błąd polegający na odczycie poza zakresem pamięci podczas budowania błędu PMTU dla IPv6. Problem pojawia się, gdy błąd ICMPv6 jest tworzony z nie-liniowego skb, co prowadzi do naruszenia pamięci (KASAN: slab-out-of-bounds).
Heimdall w wersjach przed 2.5.7 pozwala na użycie ikon zawierających dane, które nie są obrazami, takie jak ciąg '<?php ?>'. Może to prowadzić do nieautoryzowanego wykonania kodu na serwerze.
Podatność CVE-2024-31115 dotyczy systemu rezerwacji taksówek Chauffeur dla WordPress, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 7.2.
Podatność CVE-2024-31114 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Shortcode Addons, wersje od n/a do 3.2.5. Umożliwia to atakującym przesyłanie złośliwych plików na serwer.
Wtyczka Integrate Google Drive dla WordPressa jest podatna na nieautoryzowany dostęp do danych, ich modyfikację oraz utratę danych z powodu braku weryfikacji uprawnień w wielu funkcjach AJAX we wszystkich wersjach do 1.3.8 włącznie. Umożliwia to uwierzytelnionym atakującym modyfikację ustawień wtyczki oraz pełny dostęp do odczytu/zapisu/usuwania plików na Google Drive powiązanym z wtyczką.
W podatności CVE-2024-29667 zidentyfikowano lukę typu SQL Injection w systemie CMSV6 wersje 7.31.0.2 do 7.31.0.3 firmy Tongtianxing Technology Co., Ltd. Umożliwia ona zdalnemu atakującemu eskalację uprawnień oraz uzyskanie poufnych informacji poprzez parametr ids.
Wersja 1.1.2 serwera przyspieszania transmisji na żywo Huashi Private Cloud CDN hgateway-sixport zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent manager/ipping.php.
Podatność w aliyundrive-webdav w wersji 2.3.3 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany parametr sid w komponencie action_query_qrcode.
W Stilog Visual Planning 8 odkryto podatność na obejście uwierzytelniania. Umożliwia ona nieautoryzowanemu atakującemu przeprowadzenie ataku brute-force na kody PIN resetowania hasła użytkowników administracyjnych.
W Stilog Visual Planning 8 odkryto podatność na obejście uwierzytelniania, która pozwala nieautoryzowanemu atakującemu na uzyskanie tokena API administracyjnego.
W podatności CVE-2024-30502 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w WP Travel Engine. Problem ten dotyczy wersji WP Travel Engine od n/a do 5.7.9.
Podatność CVE-2024-30510 dotyczy systemu rezerwacji salonów, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach systemu od n/a do 9.5.
Podatność CVE-2024-30500 dotyczy frameworka CubeWP – All-in-One Dynamic Content, umożliwiając nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 1.1.12.
W podatności CVE-2024-30498 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w formularzach CRM Perks. Problem ten dotyczy wersji CRM Perks Forms od n/a do 1.1.4.
W podatności CVE-2024-30490 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w Metagauss ProfileGrid. Problem dotyczy wersji ProfileGrid od n/a do 5.7.8.
W podatności CVE-2023-6191 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w systemie Egehan Security WebPDKS.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS