Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka UserPro dla WordPressa jest podatna na nieautoryzowane resetowanie haseł w wersjach do 5.1.1 włącznie. Problem wynika z niewystarczającej walidacji funkcji resetowania hasła, która używa wartości w postaci czystego tekstu zamiast wartości haszowanej.
Wtyczka UserPro dla WordPressa jest podatna na obejście uwierzytelnienia w wersjach do 5.1.1 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika podczas logowania przez Facebooka, co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.
W podatności CVE-2023-2889 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w oprogramowaniu Veon Computer Service Tracking Software przed wersją crm 2.0.
W podatności CVE-2023-5047 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie DRDrive.
W ownCloud core przed wersją 10.13.1 istnieje podatność umożliwiająca atakującemu dostęp, modyfikację lub usunięcie dowolnego pliku bez uwierzytelnienia, jeśli zna nazwę użytkownika ofiary, a ofiara nie ma skonfigurowanego klucza podpisującego. Dzieje się tak, ponieważ podpisane wcześniej adresy URL mogą być akceptowane nawet bez klucza podpisującego właściciela plików. Najwcześniejsza dotknięta wersja to 10.6.0.
W ownCloud owncloud/graphapi 0.2.x przed 0.2.1 i 0.3.x przed 0.3.1 aplikacja graphapi polega na bibliotece GetPhpInfo.php, która udostępnia URL. Po uzyskaniu dostępu do tego URL ujawniane są szczegóły konfiguracji środowiska PHP (phpinfo), w tym wszystkie zmienne środowiskowe serwera WWW. W środowiskach kontenerowych mogą to być wrażliwe dane, takie jak hasło administratora ownCloud, poświadczenia serwera pocztowego i klucz licencyjny.
W Firefoksie dla iOS atakujący mógł uzyskać dostęp do wewnętrznych stron lub danych poprzez wyeksfiltrowanie klucza bezpieczeństwa z ReaderMode przy użyciu atrybutu referrerpolicy. Podatność dotyczy wersji Firefox dla iOS starszych niż 120.
W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem parametrów w pliku app/Controller/AppController.php.
W MISP przed wersją 2.4.176 zidentyfikowano problem związany z brakiem funkcji checkParam w pliku app/Model/AppModel.php, która powinna weryfikować znaki alfanumeryczne, podkreślenia, myślniki, kropki i spacje.
W MISP przed wersją 2.4.176 zidentyfikowano problem związany z niewłaściwym przetwarzaniem filtrów w pliku app/Model/AppModel.php.
W MISP przed wersją 2.4.176 występuje problem związany z niewłaściwym przetwarzaniem klauzul zamówień w pliku app/Model/AppModel.php.
W MISP przed wersją 2.4.176 zidentyfikowano problem, w którym komponent IndexFilterComponent.php nieprawidłowo filtruje parametry zapytania.
Qlik Sense Enterprise for Windows przed sierpniem 2023 Patch 2 pozwala na nieuwierzytelnione zdalne wykonanie kodu (QB-21683). Z powodu niewłaściwej walidacji nagłówków HTTP zdalny atakujący może podnieść swoje uprawnienia poprzez tunelowanie żądań HTTP, co pozwala mu na wykonywanie żądań HTTP na serwerze backendowym hostującym aplikację repozytorium.
Urządzenia dotknięte tą podatnością nieprawidłowo sanitizują pole wejściowe. Może to umożliwić zdalnemu atakującemu z uprawnieniami administratora wstrzyknięcie kodu lub uruchomienie powłoki systemowej z uprawnieniami roota.
Nieprawidłowa kontrola dostępu w funkcji "Zapomniałem hasła" w eMudhra emSigner w wersji 2.8.7 pozwala nieuwierzytelnionym atakującym uzyskać dostęp do kont wszystkich zarejestrowanych użytkowników, w tym administratorów, poprzez spreparowany token resetowania hasła.
Wersje OpenVPN od 2.6.0 do 2.6.6 zawierają podatność typu use after free, która może prowadzić do nieokreślonego zachowania, wycieku buforów pamięci lub zdalnego wykonania kodu podczas wysyłania buforów sieciowych do zdalnego partnera.
Podatność typu path traversal w SysAid On-Premise przed wersją 23.3.36, umożliwiająca zapis pliku do katalogu webroot Tomcata, co prowadzi do wykonania kodu. Luka była wykorzystywana w atakach w listopadzie 2023.
Videolan VLC w wersjach przed 3.0.20 zawiera błędne odczyty przesunięcia, co prowadzi do przepełnienia bufora na stercie w funkcji GetPacket() i skutkuje uszkodzeniem pamięci.
W podatności CVE-2023-38382 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Subscribe to Category. Problem ten dotyczy wersji od n/a do 2.7.4.
Podatność CVE-2023-36529 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w motywie Houzez - Real Estate dla WordPressa, co umożliwia atak typu SQL Injection. Problem ten dotyczy wersji motywu od n/a do 1.3.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS