Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność Cross Site Scripting (XSS) wtyczki AfterShip Tracking w wersjach do 1.18.1, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control wtyczki AI for SEO w wersjach do 2.4.2, którą można wykorzystać bez uwierzytelnienia.
Podatność Cross Site Scripting (XSS) wtyczki Profile Extra Fields by BestWebSoft w wersjach do 1.3.4, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control wtyczki ReactPress w wersjach do 3.4.0, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control wtyczki WP Social Avatar w wersjach do 1.5, którą można wykorzystać bez uwierzytelnienia.
Podatność Sensitive Data Exposure wtyczki Payment Forms for Paystack w wersjach do 4.0.5, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control wtyczki Secure Card Gateway for ePay Paycenter (Piraeus Bank) w wersjach do 1.0.32, którą można wykorzystać bez uwierzytelnienia.
Podatność Cross Site Scripting (XSS) wtyczki AcyMailing SMTP Newsletter w wersjach do 10.11.1, wykorzystywana przez użytkownika z rolą Subscriber.
Podatność Broken Access Control w wtyczce AcyMailing SMTP Newsletter do wersji 10.11.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
Podatność ujawniania wrażliwych danych klienta w WP Event Solution do wersji 4.1.18 pozwala na nieautoryzowany dostęp do danych klienta.
Podatność Broken Access Control w Service Finder Booking do wersji 6.2 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
Podatność Insecure Direct Object References (IDOR) w Do Lasso do wersji 358 pozwala nieuwierzytelnionemu atakującemu na dostęp do obiektów bez autoryzacji.
Podatność Broken Access Control w Tourfic do wersji 2.23.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.
Podatność Cross Site Scripting (XSS) w Popup by Supsystic do wersji 1.11.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu.
HCL AION jest podatny na pośrednie wstrzyknięcie promptu, które może prowadzić do wstrzyknięcia HTML w renderowanym wyniku. Wstrzyknięty kod może być wyświetlany użytkownikom, co może powodować nieoczekiwane zachowanie lub wpływ na bezpieczeństwo w określonych warunkach.
Podatność Stored Cross-site Scripting (XSS) w komponencie zarządzania użytkownikami w maalfer Pentestify przed wersją 1.1.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego JavaScript w przeglądarce innego uwierzytelnionego użytkownika poprzez spreparowaną nazwę użytkownika. Frontend escapuje nazwę użytkownika funkcją escapeHTML() przed interpolacją do atrybutu onclick przycisku usuwania konta, ale przeglądarka dekoduje wartości atrybutów przed parsowaniem przez silnik JavaScript, co pozwala na złamanie literału stringa i wstrzyknięcie dowolnego JavaScript, który wykona się po kliknięciu przycisku usuwania.
HCL AION jest podatny na brak wystarczających mechanizmów anty-automatyzacyjnych na niektórych punktach końcowych. Automatyczne lub skryptowe żądania mogą być wysyłane bez odpowiedniego ograniczania szybkości lub mechanizmów wyzwań, co może prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.
W sblim-cmpi-base znaleziono podatność polegającą na niebezpiecznym tworzeniu plików tymczasowych w skryptach rejestracji dostawcy, co pozwala lokalnemu nieuprzywilejowanemu użytkownikowi na przeprowadzenie ataku przez dowiązanie symboliczne. Tworząc dowiązanie symboliczne w katalogu z prawem zapisu dla wszystkich, atakujący może przekierować uprzywilejowane zapisy do dowolnego pliku podczas wykonywania skryptu w kontekście uprzywilejowanym. Może to prowadzić do nadpisania plików należących do roota, potencjalnie zakłócając działanie usług systemowych lub systemu. Eksploatacja jest warunkowa i zależy od uruchomienia skryptu z podniesionymi uprawnieniami oraz może być złagodzona przez ochronę dowiązań symbolicznych w katalogach ze sticky bit.
W produkcie sblim-sfcb wykryto podatność polegającą na wyścigu podczas migracji uprzywilejowanych instancji. Lokalny atakujący z niskimi uprawnieniami może manipulować plikiem tymczasowym w katalogu /tmp, wielokrotnie tworząc dowiązanie symboliczne, co pozwala przekierować uprzywilejowane dane wyjściowe do dowolnego pliku. Może to prowadzić do uszkodzenia plików z uprawnieniami lub do odmowy usługi (DoS).
W produkcie sblim-sfcb wykryto podatność na niebezpieczną deserializację w komunikacji IPC menedżera dostawców. Lokalny atakujący może wysłać specjalnie spreparowaną wiadomość, powodując dostęp do pamięci poza dozwolonym zakresem, co prowadzi do zakończenia procesu menedżera dostawców i odmowy usługi. Może to również potencjalnie skutkować ograniczonym, niezamierzonym ujawnieniem informacji.