Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w php-censor do wersji 2.1.6 włącznie, w pliku src/Model/Build/GitBuild.php, pozwala na zdalne wykonanie poleceń systemowych poprzez manipulację argumentem commitId w endpointcie Webhook.
W routerze D-Link DI-7001 MINI do wersji 19.09.19A1, funkcja sprintf w pliku /httpd_debug.asp (komponent API) jest podatna na przepełnienie bufora stosu poprzez argument Time. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Podatność w backendzie Splash biblioteki Poppler. Zdalny atakujący może stworzyć złośliwy plik PDF, który po renderowaniu powoduje przepełnienie liczby całkowitej w funkcji tilingPatternFill, prowadząc do za małej alokacji pamięci sterty i zapisu poza zakresem.
Tychon zawiera komponent OpenSSL, który określa zmienną OPENSSLDIR jako podkatalog, który może być kontrolowany przez nieuprzywilejowanego użytkownika w systemie Windows. Tychon zawiera uprzywilejowaną usługę używającą tego komponentu OpenSSL. Użytkownik, który może umieścić specjalnie spreparowany plik openssl.cnf w odpowiedniej ścieżce, może uzyskać zdalne wykonanie kodu z uprawnieniami SYSTEM.
Wtyczka LearnPress dla WordPressa jest podatna na odbity atak XSS z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 4.3.6.
Wtyczka WP Statistics firmy VeronaLabs zawiera podatność na atak Cross-Site Scripting (XSS) typu DOM-Based. Problem dotyczy wersji od n/a do 14.16.6.
Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa (wersje do 1.8.8) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Wtyczka e2pdf do WordPressa (wersje do 1.32.14) zawiera podatność na Reflected Cross-Site Scripting (XSS) poprzez nieprawidłową neutralizację danych wejściowych podczas generowania strony.
Użycie zakodowanych na stałe poświadczeń w KS-SOMED umożliwiło nieautoryzowanemu atakującemu dostęp do serwera FTP hostującego pakiety aktualizacji aplikacji. Atakujący mógł przesłać złośliwy plik aktualizacji, który następnie mógł być dystrybuowany i instalowany na klientach jako legalna aktualizacja.
FlexRIC v2.0.0 ulega awarii po otrzymaniu RIC_SUBSCRIPTION_RESPONSE z nieznanym ric_id, dla którego nie ma oczekującego zdarzenia. near-RT RIC używa assert() do wymuszenia istnienia oczekującego zdarzenia. Zdalny nieuwierzytelniony atakujący może wysłać sfałszowaną odpowiedź na port 36421, powodując SIGABRT (Debug) lub dereferencję NULL (SIGSEGV) w wersji Release.
FlexRIC v2.0.0 ulega awarii, gdy połączenie SCTP zostanie zamknięte przed wysłaniem E2_SETUP_REQUEST. near-RT RIC zakłada, że mapowanie między połączeniem SCTP a węzłem E2 zawsze istnieje i wymusza to przez assert(). Zdalny nieuwierzytelniony atakujący może spowodować awarię near-RT RIC (port 36421) poprzez wykonanie uzgadniania SCTP i natychmiastowe rozłączenie bez wysyłania żadnej wiadomości E2AP.
SourceCodester Computer Repair Shop Management System do wersji 1.0 zawiera podatność na wstrzykiwanie SQL w pliku /admin/products/manage_product.php poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Real State Services 1.0 od code-projects zawiera podatność na wstrzykiwanie SQL w pliku /loginuser.php komponentu Login poprzez manipulację argumentem Username. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
W systemie CodeAstro Online Job Portal 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /users/application_status.php. Manipulacja argumentem ID może prowadzić do nieautoryzowanego dostępu do bazy danych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie CodeAstro Online Job Portal 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /admin/jobs-admins/delete-jobs.php. Manipulacja argumentem ID może prowadzić do nieautoryzowanego dostępu do bazy danych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W urządzeniu H3C Magic B0 do wersji 100R002 wykryto podatność w funkcji SetMobileAPInfoById pliku /goform/aspForm. Manipulacja argumentem param prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Exploit został publicznie ujawniony.
Vertex, narzędzie do zarządzania streamingiem i oglądaniem filmów dla użytkowników PT (Private Tracker), jest podatne na path traversal w wersjach przed commit fbde301b97986d5913fc4bc95f5445750d282e11. Atakujący może wykorzystać tę podatność do odczytu lub zapisu plików poza dozwolonym katalogiem.
W systemie itsourcecode Online House Rental System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /manage_payment.php. Manipulacja argumentem ID może prowadzić do nieautoryzowanego dostępu do bazy danych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie itsourcecode Online House Rental System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /manage_tenant.php. Manipulacja argumentem ID może prowadzić do nieautoryzowanego dostępu do bazy danych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W systemie itsourcecode Online House Rental System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /ajax.php?action=login. Manipulacja argumentem Username może prowadzić do nieautoryzowanego dostępu do bazy danych. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.