Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.
WebJET CMS 8.6.896 od Interway a.s. zawiera podatność na ataki typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
Wtyczka AI ChatBot dla WordPress w wersjach do 4.8.9 oraz 4.9.2 zawiera podatność na przemieszczanie się po katalogach (Directory Traversal) w funkcji qcld_openai_upload_pagetraining_file. Umożliwia ona atakującym z poziomem subskrybenta dodanie kodu "<?php" do dowolnego istniejącego pliku na serwerze, co może prowadzić do odmowy usługi (DoS) w przypadku modyfikacji krytycznych plików, takich jak wp-config.php.
Wtyczka AI ChatBot dla WordPressa jest podatna na usuwanie dowolnych plików w wersjach do 4.8.9 włącznie oraz w wersji 4.9.2. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta usuwanie dowolnych plików na serwerze.
Wtyczka ChatBot dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr $strid w wersjach do 4.8.9 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących, co może prowadzić do wyciągania wrażliwych informacji z bazy danych.
Podatność CVE-2023-38545 dotyczy przepełnienia bufora w pamięci sterty podczas handshake'u proxy SOCKS5 w narzędziu curl. Problem występuje, gdy curl przekazuje zbyt długą nazwę hosta do proxy, co prowadzi do nieprawidłowego kopiowania danych.
Cisco aktualizuje informacje o trwającym dochodzeniu w sprawie wykorzystania funkcji interfejsu webowego w oprogramowaniu Cisco IOS XE. Atakujący wykorzystał CVE-2023-20198 do uzyskania początkowego dostępu i utworzenia lokalnego użytkownika z uprawnieniami poziomu 15, a następnie wykorzystał inną podatność (CVE-2023-20273) do podniesienia uprawnień do root i zapisania implantu w systemie plików. CVE-2023-20198 ma CVSS 10.0, a CVE-2023-20273 CVSS 7.2.
W bibliotece zlib w wersji do 1.3 w komponencie MiniZip występuje przepełnienie liczby całkowitej i wynikający z niego przepełnienie bufora sterty w funkcji zipOpenNewFileInZip4_64. Podatność może być wykorzystana poprzez długą nazwę pliku, komentarz lub pole dodatkowe.
W podatności CVE-2023-5046 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection oraz wykonania poleceń systemowych przez SQL Injection w oprogramowaniu Procost firmy Biltay Technology.
W podatności CVE-2023-5045 w technologii Biltay Kayisi występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na ataki typu SQL Injection oraz wykonanie poleceń systemowych przez SQL Injection.
Podatność ujawniania wrażliwych informacji w NetScaler ADC i NetScaler Gateway, gdy są skonfigurowane jako brama (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) lub AAA virtual server.
Mbed TLS w wersjach od 3.2.x do 3.4.x przed 3.5 zawiera podatność typu Buffer Overflow, która może prowadzić do zdalnego wykonania kodu.
Podatność CVE-2023-4530 dotyczy panelu administracyjnego reklamy Turna, który przed wersją 1.1 jest podatny na atak typu SQL Injection. Niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL umożliwia atakującym wstrzykiwanie złośliwego kodu SQL.
Atlassian zgłosił problem, w którym zewnętrzni atakujący mogli wykorzystać nieznaną wcześniej podatność w publicznie dostępnych instancjach Confluence Data Center i Server do tworzenia nieautoryzowanych kont administratorów Confluence oraz uzyskiwania dostępu do instancji Confluence.
Podatność CVE-2023-44208 dotyczy ujawnienia i manipulacji wrażliwymi informacjami z powodu braku autoryzacji. Dotyczy to produktów Acronis Cyber Protect Home Office (Windows) przed wersją 40713 oraz Acronis True Image OEM (Windows) przed wersją 42575.
Wtyczka OpenHook dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 4.3.0 włącznie, poprzez shortcode 'php'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyższymi, wykonanie kodu na serwerze, pod warunkiem, że ustawienie shortcode [php] jest włączone na podatnej stronie.
Wtyczka AjaxNewsTicker w wersji 1.0.5 zawiera podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany parametr 'reque'. Problem wynika z braku odpowiedniej walidacji danych wejściowych.
W panelu administracyjnym Hedef Tracking występuje podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji panelu administracyjnego przed 1.2.
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
W serwerze WS_FTP Server w wersjach wcześniejszych niż 8.7.4 i 8.8.2, nieuwierzytelniony atakujący może wykorzystać podatność na deserializację .NET w module Ad Hoc Transfer do wykonania zdalnych poleceń na systemie operacyjnym serwera WS_FTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS