Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Kubernetes odkryto problem bezpieczeństwa, który pozwala aktorom kontrolującym odpowiedzi na żądania MutatingWebhookConfiguration lub ValidatingWebhookConfiguration na przekierowanie żądań kube-apiserver do prywatnych sieci apiservera. Użytkownik, który ma dostęp do logów kube-apiserver przy poziomie logowania ustawionym na 10, może zobaczyć przekierowane odpowiedzi i nagłówki w logach.
Podatność CVE-2021-22791 dotyczy błędu zapisu poza granicami (CWE-787) w kontrolerach Modicon PLC, który może prowadzić do awarii usługi podczas aktualizacji aplikacji kontrolera za pomocą specjalnie przygotowanego pliku projektu. Dotyczy to różnych modeli kontrolerów Modicon M580, M340, MC80, Momentum oraz symulatorów PLC.
Podatność CWE-125: Odczyt poza zakresem, która może spowodować Denial of Service na kontrolerze/symulatorze Modicon PLC podczas aktualizacji aplikacji kontrolera za pomocą specjalnie przygotowanego pliku projektu. Dotyczy to różnych modeli kontrolerów Modicon M580, M340, MC80, Momentum oraz symulatorów PLC dla EcoStruxure.
Występuje podatność CWE-119: Niewłaściwe ograniczenie operacji w granicach bufora pamięci, która może spowodować Denial of Service na kontrolerze/symulatorze Modicon PLC podczas aktualizacji aplikacji kontrolera za pomocą specjalnie przygotowanego pliku projektu. Dotyczy to różnych modeli kontrolerów Modicon M580, M340, MC80, Momentum Ethernet, Quantum oraz Premium, a także symulatorów PLC dla EcoStruxure.
W WTCMS 1.0 w panelu zarządzania stronami występuje odbita podatność na skrypty między witrynami (XSS), która umożliwia atakującym przechwytywanie ciasteczek poprzez spreparowany ładunek w polu wyszukiwania.
W kamerze IP TRENDnet TV-IP110WN w wersjach oprogramowania V1.2.2.64, V1.2.2.65 i V1.2.2.68 wykryto podatność na atak typu Cross Site Scripting (XSS). Luka występuje w parametrze 'profile' w żądaniu GET do skryptu view.cgi.
W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku app/View/GalaxyElements/ajax/index.ctp, która może być wykorzystana podczas przeglądania elementów klastra galaktycznego w formacie JSON.
W MISP w wersji 2.4.147 występuje podatność na przechowywane XSS w pliku view_relation_tree.ctp, co pozwala na wykonanie złośliwego kodu podczas przeglądania relacji klastrów galaktycznych.
W MISP w wersji 2.4.146 występuje podatność na przechowywane XSS w pliku app/View/GalaxyClusters/add.ctp, która może być wykorzystana podczas forkowania klastra galaktycznego.
Podatność na skrypty między witrynami (XSS) w systemie CASAP Automated Enrollment System w wersji 1.0 od SourceCodester. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego kodu JavaScript lub HTML poprzez parametr class_name w skrypcie update_class.php.
Podatność w produkcie PeopleSoft Enterprise CS Campus Community (komponent: Integration and Interfaces) wersji 9.0 i 9.2. Umożliwia atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP nieautoryzowany dostęp do krytycznych danych.
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
W systemie XYHCMS V3.6 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF) w URI /xyhai.php?s=/Auth/editUser. Umożliwia ona atakującemu modyfikację danych administratora, w tym nazwy, adresu e-mail i hasła.
W baigo CMS w wersji 4.0-beta-1 odkryto podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametr 'post' w formularzu wysyłanym do /public/console/profile/info-submit/.
W Teradici PCoIP Management Console-Enterprise 20.07.0, nieuwierzytelniony użytkownik może wstrzyknąć dowolny tekst do przeglądarki ofiary za pośrednictwem aplikacji webowej.
W MISP przed wersją 2.4.146 występuje podatność na przechowywane XSS w widoku grup udostępniania, zlokalizowanym w pliku app/View/SharingGroups/view.ctp.
Podatność XSS w Chevereto przed wersją 3.17.1 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez tytuł obrazu podczas przesyłania pliku.
W oprogramowaniu sprzętowym TrippLite SU2200RTXL2Ua w wersji 12.04.0055 odkryto podatność na trwały atak XSS w skrypcie /Forms/device_vars_1. Umożliwia ona uwierzytelnionym atakującym wstrzyknięcie złośliwego skryptu poprzez spreparowane żądanie POST, co prowadzi do kradzieży danych innych użytkowników.
W Typesetter 5.1 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez pola className i Description w skrypcie index.php/Admin/Classes. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MetInfo 7.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS) poprzez parametr gourl w pliku login.php. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony logowania.