Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W routerze Tenda AC1206 w wersji oprogramowania v15.03.06.23 występuje wiele przepełnień stosu w funkcji fromGstDhcpSetSer przez parametry username i password. Luki te pozwalają atakującemu na spowodowanie odmowy usługi (DoS) poprzez spreparowane żądanie HTTP.
Podatność przepełnienia bufora w funkcji strcpy w pliku /goform/formConfigDnsFilterGlobal w UTT HiPER 2610G do wersji 3.0.0-171107. Manipulacja argumentem GroupName może prowadzić do przepełnienia bufora.
Przestarzały mechanizm wymiany kluczy IKEv1 zawiera słabość w logice walidacji certyfikatów, która pozwala nieuwierzytelnionemu atakującemu typu man-in-the-middle na ominięcie walidacji certyfikatów w połączeniach VPN site-to-site używających uwierzytelniania certyfikatowego.
Podatność w `cordova-plugin-inappbrowser` dla iOS pozwala dowolnej treści webowej załadowanej w InAppBrowser na wywołanie dowolnego oczekującego callbacka Cordova w aplikacji hosta. Atakujący może wysłać wiadomość z polem `id` zawierającym zgadywalny identyfikator callbacka, co umożliwia fałszowanie wyników pluginów takich jak Camera, Contacts, File czy Geolocation.
W Tenda CX12L w wersji 16.03.53.12 wykryto podatność na przepełnienie bufora stosu w funkcji setSchedWifi pliku /goform/openSchedWifi. Manipulacja argumentami schedStartTime/schedEndTime prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Podatność w Bagisto wynika z nieprawidłowej walidacji danych wejściowych w komponencie ImageCacheController. Niezalogowany atakujący zdalnie może wykorzystać tę lukę, wysyłając spreparowane sekwencje path traversal przez parametr filename, aby uzyskać dostęp do dowolnych plików poza zamierzonym katalogiem.
W Tenda CX12L w wersji 16.03.53.12 stwierdzono podatność na przepełnienie bufora stosu w funkcji form_fast_setting_wifi_set pliku /goform/fast_setting_wifi_set. Manipulacja argumentem ssid prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W SourceCodester Hospitals Patient Records Management System 1.0 stwierdzono podatność na iniekcję SQL w pliku /classes/Master.php?f=save_patient poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został opublikowany publicznie.
VMware Cloud Foundation Operations zawiera wiele luk typu stored cross-site scripting. Złośliwy aktor z uprawnieniami do tworzenia polityk, widoków lub widżetów tekstowych może wstrzykiwać skrypty w celu wykonania działań administracyjnych w VMware Cloud Foundation Operations.
VMware Cloud Foundation Operations zawiera wiele podatności na trwałe ataki XSS (stored cross-site scripting). Osoba z uprawnieniami do tworzenia polityk, widoków lub widżetów tekstowych może wstrzyknąć skrypty w celu wykonania działań administracyjnych.
VMware Cloud Foundation Operations zawiera wiele podatności na trwałe ataki XSS. Osoba atakująca z uprawnieniami do tworzenia polityk, widoków lub widżetów tekstowych może wstrzykiwać skrypty w celu wykonania działań administracyjnych.
W serwerze WINS Samby działającym jako kontroler domeny Active Directory, procedury obsługi protokołu WINS dla niektórych typów żądań nieprawidłowo walidują przychodzące pakiety. Nieuwierzytelniony zdalny atakujący może wysłać specjalnie spreparowane pakiety UDP, powodując wyłuskanie wskaźnika NULL i awarię usługi WINS.
W urządzeniach Tenda HG7, HG9 i HG10 w wersji oprogramowania 300001138_en_xpon, w funkcji asp_voip_OtherSet w pliku /boaform/voip_other_set interfejsu zarządzania WWW występuje przepełnienie bufora na stosie. Atakujący może zdalnie manipulować argumentem funckey_transfer, co prowadzi do przepełnienia bufora.
Online Music Site 1.0 od code-projects ma podatność SQL Injection w pliku /Frontend/Search.php poprzez manipulację argumentem Category. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W aplikacji code-projects Online Music Site 1.0 stwierdzono podatność na iniekcję SQL w pliku /Administrator/PHP/AdminDeleteAlbum.php poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W aplikacji code-projects Simple Flight Ticket Booking System 1.0 stwierdzono podatność na iniekcję SQL w pliku checkUser.php w komponencie POST Parameter Handler poprzez manipulację argumentem Username. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W aplikacji SourceCodester Class and Exam Timetabling System 1.0 stwierdzono podatność na iniekcję SQL w pliku /archive1.php poprzez manipulację argumentem sy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /archive2.php poprzez parametr sy. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
W systemie SourceCodester Class and Exam Timetabling System 1.0 stwierdzono podatność na wstrzykiwanie SQL w pliku /archive3.php poprzez parametr sy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie SourceCodester Class and Exam Timetabling System 1.0 odkryto lukę bezpieczeństwa w pliku /archive4.php, gdzie manipulacja parametrem sy prowadzi do wstrzykiwania SQL. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.