Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Rsync przed wersją 3.5.0 zawiera podatność polegającą na obejściu reguł filtrów, która pozwala uwierzytelnionym klientom na nadpisanie ograniczeń filtrów na poziomie modułu poprzez dostarczenie złośliwych dyrektyw --filter merge. Atakujący mogą wstrzyknąć dyrektywy scalania plików po stronie klienta podczas oceny filtrów, aby wprowadzić reguły, które zastępują ograniczenia na poziomie modułu demona, uzyskując dostęp do plików, które filtr modułu miał wykluczyć.
@jshookmcp/jshook to serwer MCP, który zapewnia narzędzia AI do analizy JavaScript i badań bezpieczeństwa. W wersji 0.3.1 domena sieciowa ma centralną politykę autoryzacji SSRF, która blokuje cele prywatne, pętli zwrotnej, link-local i zarezerwowane, chyba że jawny obiekt autoryzacji zezwala na dostęp do sieci prywatnej. Polityka jest egzekwowana przez narzędzia surowego HTTP/TCP/TLS RTT, ale narzędzia ICMP probe i traceroute rozwiązują cel i wywołują natywny mechanizm ICMP/traceroute bezpośrednio. Klient MCP z dostępem do aktywnej domeny sieciowej może poprosić serwer jshookmcp o sondowanie wewnętrznych adresów, nawet gdy lokalny dostęp SSRF jest wyłączony dla innych narzędzi sieciowych. To ujawnia prymityw wewnętrznej osiągalności i mapowania tras z pozycji sieciowej serwera. Wersja 0.3.2 naprawia ten problem.
W Probo, pakiet `saferedirect` nieprawidłowo walidował adresy URL przekierowań, sprawdzając tylko drugi znak ścieżek względnych. URL taki jak `/../\evil.com` przechodził walidację, a przeglądarki mogły interpretować backslash jako separator hosta, co umożliwiało przekierowanie użytkownika na zewnętrzną domenę. Luka umożliwia ataki typu open redirect i phishing.
Firma ELAN zgłosiła potencjalną podatność na zapis poza zakresem w sterowniku ELAN TrackPoint, która w pewnych okolicznościach może pozwolić lokalnemu uwierzytelnionemu użytkownikowi na spowodowanie awarii systemu.
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce User Registration w wersjach do 5.2.6.
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w wtyczce InstaWP Connect w wersjach do 0.1.3.7.
Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.
Podatność polegająca na nieuwierzytelnionym złamaniu kontroli dostępu w bramce Revolut Gateway dla WooCommerce w wersjach starszych niż 4.22.10.
Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.
Podatność Cross Site Scripting (XSS) z uprawnieniami autora w wtyczce WP Data Access w wersjach 5.5.79 i starszych.
Podatność Cross Site Scripting (XSS) z uprawnieniami współautora w wtyczce Featured Image from URL w wersjach 5.3.3 i starszych.
W projekcie basecamp/upright w konkretnym commicie wyłączono ochronę CSRF Rails dla kontrolerów proxy Alertmanager i Prometheus. Nieuwierzytelniony atakujący może nakłonić przeglądarkę zalogowanego użytkownika do wysyłania żądań, które są przekazywane do włączonych punktów końcowych zapisu lub zarządzania, takich jak tworzenie ciszy Alertmanager lub żądanie przeładowania Prometheusa. Ostateczny wpływ zależy od interfejsów API włączonych przez usługi nadrzędne.
Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.
Nieuwierzytelniona podatność Broken Access Control w wtyczce Anti Spam and list cleaner – AcyChecker w wersjach 2.0.0 i starszych.
Podatność Cross Site Scripting (XSS) z uprawnieniami klienta w wtyczce WpBookingly w wersjach 1.3.2 i starszych.
Nieuwierzytelniona podatność Broken Access Control w dodatku Contact Form 7 – PayPal & Stripe Add-on w wersjach 2.5.1 i starszych.
Podatność Server Side Request Forgery (SSRF) z uprawnieniami subskrybenta w wtyczce Vehica Core w wersjach 1.0.104 i starszych.
Podatność Cross Site Scripting (XSS) z uprawnieniami subskrybenta w wtyczce Accordion w wersjach 3.0.6 i starszych.
Podatność Cross Site Scripting (XSS) wtyczki FluentCommunity w wersjach do 2.7.5, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control wtyczki Internal Link Optimiser w wersjach do 5.2.7, którą można wykorzystać bez uwierzytelnienia.