Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2023-25960 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Zendrop – Global Dropshipping. Problem ten dotyczy wersji od n/a do 1.0.0.
Wtyczka MStore API dla WordPressa jest podatna na nieautoryzowany dostęp do konta oraz eskalację uprawnień w wersjach do 4.10.7 włącznie, z powodu niewłaściwej implementacji funkcji logowania Apple. Umożliwia to nieautoryzowanym atakującym logowanie się jako dowolny użytkownik, pod warunkiem, że znają adres e-mail użytkownika.
W systemie lmxcms w wersji 1.41 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do pliku admin.php.
Podatność w urządzeniu Turing Video Turing Edge+ EVC5FD w wersji 1.38.6 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie wrażliwych informacji poprzez komponenty połączenia chmurowego.
Wszystkie wersje Confluence Data Center i Server są podatne na tę niewykorzystaną podatność. Jest to podatność typu Improper Authorization, która pozwala nieuwierzytelnionemu atakującemu na zresetowanie Confluence i utworzenie konta administratora instancji Confluence. Używając tego konta, atakujący może wykonać wszystkie czynności administracyjne dostępne dla administratora instancji Confluence, co prowadzi do pełnej utraty poufności, integralności i dostępności.
Prestashop w wersji opartlimitquantity 1.4.5 i wcześniejszych jest podatny na atak typu SQL Injection. Metoda `OpartlimitquantityAlertlimitModuleFrontController::displayAjaxPushAlertMessage()` zawiera wrażliwe zapytania SQL, które mogą być wykonane za pomocą prostego wywołania HTTP.
tinyfiledialogs w wersjach przed 3.15.0 pozwala na użycie metaznaków powłoki (takich jak znak backquote lub dolar) w tytułach, wiadomościach i innych danych wejściowych. Problem ten wynika z niekompletnej poprawki dla CVE-2020-36767, która uwzględniała jedynie znaki pojedynczego i podwójnego cudzysłowu.
Wtyczka Ads by datafeedr.com dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 1.1.3 włącznie, poprzez funkcję 'dfads_ajax_load_ads'. Umożliwia to nieautoryzowanym atakującym wykonanie kodu na serwerze.
Wtyczka PHP to Page dla WordPressa jest podatna na lokalne włączenie pliku, co może prowadzić do zdalnego wykonania kodu w wersjach do 0.3 włącznie, poprzez shortcode 'php-to-page'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej, włączenie lokalnego pliku i potencjalne wykonanie kodu na serwerze.
Marshaller protokołu Java OpenWire jest podatny na zdalne wykonanie kodu. Podatność ta może pozwolić zdalnemu atakującemu z dostępem sieciowym do brokera lub klienta OpenWire na uruchomienie dowolnych poleceń powłoki poprzez manipulowanie serializowanymi typami klas w protokole OpenWire, co powoduje, że klient lub broker (odpowiednio) instancjonuje dowolną klasę ze ścieżki klas.
W podatności CVE-2023-5807 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w portalu edukacyjnym TRtek. Problem dotyczy wersji portalu edukacyjnego przed 3.2023.29.
Nieujawnione żądania mogą ominąć uwierzytelnianie w narzędziu konfiguracyjnym, umożliwiając atakującemu z dostępem sieciowym do systemu BIG-IP przez port zarządzania i/lub adresy self IP wykonanie dowolnych poleceń systemowych. Wersje oprogramowania, które osiągnęły koniec wsparcia technicznego (EoTS), nie zostały ocenione.
NextGen Healthcare Mirth Connect przed wersją 4.4.1 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Podatność ta jest spowodowana niekompletną poprawką CVE-2023-37679.
Biblioteka crypto-js przed wersją 4.2.0 ma słabą implementację PBKDF2, która jest 1,000 razy słabsza niż pierwotnie określono w 1993 roku oraz 1,300,000 razy słabsza niż obecny standard branżowy. Domyślnie używa SHA1 oraz jednego przebiegu, co znacząco obniża bezpieczeństwo.
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
vCenter Server zawiera podatność na zapis poza zakresem w implementacji protokołu DCERPC. Złośliwy aktor z dostępem sieciowym do vCenter Server może wywołać zapis poza zakresem, co może prowadzić do zdalnego wykonania kodu.
Wtyczka Icegram Express dla WordPressa jest podatna na atak typu Directory Traversal w wersjach do 5.6.23 włącznie, poprzez funkcję show_es_logs. Umożliwia to atakującym na poziomie administratora odczyt zawartości dowolnych plików na serwerze.
Dropbox Folder Share dla WordPressa jest podatny na Local File Inclusion w wersjach do 1.9.7 włącznie, poprzez plik editor-view.php. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
Wtyczka Simple:Press – Forum dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku ~/admin/resources/jscript/ajaxupload/sf-uploader.php w wersjach do 6.6.0 włącznie. Umożliwia to atakującym przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Podatność w interfejsie webowym produktu RUCKUS Cloudpath w wersji 5.12 build 5538 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzenie trwałych ataków XSS i CSRF na interfejs administracyjny. W połączeniu z określoną aktywnością administratora, atak może prowadzić do uzyskania pełnych uprawnień administracyjnych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS