Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Brak ochrony przed atakami typu Brute-Force w systemie CODESYS Development System przed wersją 3.5.19.20 umożliwia lokalnemu atakującemu nieograniczone próby odgadnięcia hasła w oknie dialogowym importu.
W Cute Http File Server 2.0 odkryto podatność, która została sklasyfikowana jako problematyczna. Dotyczy ona nieznanej części komponentu wyszukiwania i prowadzi do ataków typu cross site scripting.
W PHP Jabbers Availability Booking Calendar w wersji 5.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację argumentem session_id w pliku /index.php.
Aplikacja BluetensQ dla urządzenia do elektrostymulacji Bluetens w wersji 4.3.15 jest podatna na ataki typu man-in-the-middle w kanale BLE. Umożliwia to atakującym przejęcie komunikacji BLE i zmianę intensywności stymulacji.
Podatność CVE-2023-4016 pozwala użytkownikowi, który ma dostęp do uruchomienia narzędzia 'ps' na maszynie, na zapisanie niemal nieograniczonej ilości nieprzefiltrowanych danych do sterty procesu.
Nieinicjalizowany bufor w parserze GBL w Silicon Labs GSDK w wersji 4.3.0 i wcześniejszych umożliwia atakującemu wyciek danych z bezpiecznego stosu poprzez źle sformatowany plik GBL.
Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed` można było utworzyć więcej użytkowników niż dozwolone za pomocą linków zaproszeniowych. Problem został naprawiony w wersjach 3.0.6 i 3.1.0.beta7.
W systemie Mingsoft MCMS do wersji 5.3.1 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację argumentem 'style' w pliku search.do. Atak można przeprowadzić zdalnie.
W systemie SourceCodester Jewelry Store 1.0 odkryto podatność, która została oceniona jako problematyczna. Dotyczy ona nieznanej funkcjonalności pliku add_customer.php, co prowadzi do ataków typu cross-site scripting.
W systemie zarządzania salonem fryzjerskim Simple Online Mens Salon Management System 1.0 odkryto podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentami Imię/Nazwisko/Nazwa użytkownika w pliku /admin/?page=user/list.
W wersjach przed 1.11.5, 1.12.3 i 1.13.0 Crossplane umożliwia użytkownikom o wysokich uprawnieniach tworzenie pakietów, które mogą odnosić się do dowolnie dużych obrazów. Może to prowadzić do wyczerpania dostępnej pamięci i spowodować, że kontener zostanie zabity z powodu braku pamięci (OOMKilled).
W GZ Scripts Availability Booking Calendar PHP 1.0 odkryto podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem img w pliku /index.php?controller=GzUser&action=edit&id=1. Atak można przeprowadzić zdalnie.
W GZ Scripts Availability Booking Calendar PHP 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem promo_code w pliku index.php. Atak może być przeprowadzony zdalnie.
Platforma SolarWinds była podatna na lukę związaną z nieprawidłową neutralizacją danych wejściowych. Luka ta umożliwia zdalnemu przeciwnikowi posiadającemu ważne konto na platformie SolarWinds dołączenie parametrów URL w celu wstrzyknięcia pasywnego HTML.
Wtyczka do WordPressa do wideokonferencji z Zoomem jest podatna na ujawnienie wrażliwych informacji z powodu twardo zakodowanego klucza szyfrującego w funkcji 'vczapi_encrypt_decrypt' w wersjach do 4.2.1 włącznie. Umożliwia to nieautoryzowanym atakującym odszyfrowanie i wyświetlenie identyfikatora spotkania oraz hasła.
Wykryto podatność w phpscriptpoint Lawyer 1.6, która została sklasyfikowana jako problematyczna. Dotyczy to nieznanej części pliku search.php i prowadzi do ataku typu cross site scripting.
TYPO3 to system zarządzania treścią oparty na PHP, który w wersjach od 9.4.0 do 9.5.42 ELTS, 10.4.39 ELTS, 11.5.30 i 12.4.4 miał lukę umożliwiającą dostęp do treści zewnętrznych w scenariuszach wielostanowiskowych. Umożliwiało to odwiedzającym dostęp do treści wewnętrznej poprzez manipulację parametrami zapytania HTTP w URL.
Wykryto podatność w phpscriptpoint Lawyer 1.6, która dotyczy nieznanej funkcjonalności pliku page.php. Manipulacja prowadzi do ataku typu cross site scripting (XSS), który może być przeprowadzony zdalnie.
W systemie zarządzania salonem piękności Campcodes w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację argumentem id w pliku /admin/edit-accepted-appointment.php. Atak można przeprowadzić zdalnie.
W systemie zarządzania salonem piękności Campcodes w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem adminname w pliku /admin/admin-profile.php.