Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 wykryto podatność na atak XSS w panelu administratora. Atakujący może wstrzyknąć złośliwy kod JavaScript w pole 'Pełna nazwa administratora', który uruchamia się przy każdej wizycie administratora na stronie profilu.
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 występuje podatność na atak XSS w panelu administracyjnym w zakładce Zarządzanie użytkownikami. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu Pełna nazwa podczas rejestracji użytkownika, który wykona się przy każdej wizycie administratora w tej zakładce.
W Invision Community 4.5.4 występuje podatność na atak XSS w polu nazwy pola (Field Name). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się przy każdym otwarciu tego pola przez użytkownika.
WonderCMS 3.1.3 zawiera podatność na cross-site scripting (XSS) w panelu administracyjnym. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu słów kluczowych strony, który wykona się przy każdej wizycie użytkownika na stronie, umożliwiając kradzież ciasteczek sesyjnych.
W CoasterCMS w wersji 5.8.18 występuje podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wykraść ciasteczko sesji użytkownika i przekierować go na złośliwą stronę, ponieważ podatność jest wyzwalana na stronie głównej aplikacji.
W DotCMS w wersji 20.11 w panelu administracyjnym dodawania szablonów występuje podatność na trwały atak XSS. Umożliwia ona atakującemu przejęcie sesji użytkownika poprzez kradzież ciasteczek i eskalację uprawnień.
W systemie OpenAsset Digital Asset Management (DAM) w wersji 12.0.19 i wcześniejszych brakuje kontroli dostępu na punkcie końcowym /Stream/ProjectsCSV, co pozwala nieuwierzytelnionym atakującym na uzyskanie dostępu do potencjalnie wrażliwych informacji o projektach przechowywanych przez aplikację.
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
Typ GeneralName w X.509 jest używany do reprezentowania różnych typów nazw, w tym EDIPartyName. Funkcja GENERAL_NAME_cmp w OpenSSL porównuje instancje GENERAL_NAME, ale w przypadku EDIPARTYNAME może prowadzić do dereferencji wskaźnika NULL i awarii, co może skutkować atakiem typu denial of service.
W SeedDMS 6.0.13 odkryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr folderid w pliku views/bootstrap/class.DropFolderChooser.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MISP w wersji 2.4.135 występuje podatność XSS w polu komentarza authkey w pliku genericField.ctp.
W jądrze Linuxa przed wersją 5.6.8 odkryto problem związany z funkcją do_madvise w pliku mm/madvise.c. Występuje warunek wyścigu pomiędzy operacjami coredump a implementacją IORING_OP_MADVISE.
W Crafter CMS Crafter Studio 3.0.1 nieuwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do trwałego/ukrytego XSS w panelu administracyjnym.
W Crafter CMS Crafter Studio 3.0.1 wykryto podatność IDOR (Insecure Direct Object Reference), która umożliwia nieuwierzytelnionym atakującym przeglądanie i modyfikowanie danych administracyjnych.
Podatność SSRF w generowaniu PDF w MicroStrategy 10.4, 2019 przed Update 6 i 2020 przed Update 2 pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych zasobów sieciowych lub wyciek plików z lokalnego systemu poprzez kontenery HTML osadzone w dokumencie dashboardu. Wersja 10.4 nie otrzyma łatki, ponieważ osiągnie koniec życia 31.12.2020.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-200, która umożliwia ujawnienie niepoufnych informacji. Atakujący może wykorzystać tę lukę, przechwytując ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221.
W Modicon M221 (wszystkie wersje) występuje podatność CWE-311: Brak szyfrowania wrażliwych danych, która może umożliwić atakującemu odnalezienie hasha hasła. Podatność ta występuje, gdy atakujący przechwyci ruch między oprogramowaniem EcoStruxure Machine - Basic a kontrolerem Modicon M221 i złamie klucze szyfrujące.
W jądrze Linuxa do wersji 5.9.9 odkryto problem w pliku spk_ttyio.c, który może prowadzić do lokalnego ataku typu denial of service przez lokalnych napastników korzystających z sterownika speakup. Problem ten występuje z powodu nieprawidłowego zwolnienia pamięci, gdy dyscyplina linii jest używana więcej niż raz.
W MISP w wersji 2.4.134 występuje podatność XSS w widoku elementu szablonu index, spowodowana niewłaściwym przetwarzaniem parametru id.