Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja Remember Me w Mura CMS przed wersją 10.0.580 zawiera podatność, która umożliwia atakującym ominięcie uwierzytelniania poprzez spreparowane żądanie HTTP. Luka wynika z nieprawidłowej weryfikacji tokenów sesji.
Serenissima Informatica Fast Checkin w wersji v1.0 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL. Atakujący może zdalnie wykonać dowolne zapytania SQL bez konieczności logowania.
W aplikacji Serenissima Informatica Fast Checkin w wersji 1.0 wykryto podatność umożliwiającą nieuwierzytelnionym atakującym dowolne zapisywanie plików w katalogu głównym aplikacji. Atakujący może przesłać złośliwy plik (webshell) i uzyskać zdalny dostęp do serwera.
Podatność w aplikacji Robot w Ip-label Newtest przed wersją v8.5R0 polega na stosowaniu słabych kontroli sygnatur wykonywanych plików binarnych. Umożliwia to atakującemu z dostępem do zapisu podmianę pliku NEWTESTREMOTEMANAGER.EXE i eskalację uprawnień.
Wtyczka ContentStudio dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień w kilku funkcjach w wersjach do 1.2.5 włącznie. Umożliwia to nieautoryzowanym atakującym uzyskanie metadanych bloga, w tym tokena contentstudio_token wtyczki.
Podatność SQL Injection w phpMyAdmin 5.x przed wersją 5.2.0, występująca w funkcji getTableCreationQuery w pliku CreateAddField.php. Atakujący może wstrzyknąć złośliwe zapytania SQL poprzez parametry tbl_storage_engine lub tbl_collation w żądaniu do tbl_create.php.
W systemie zamówień online tourist5 w wersji 1.0 występuje wiele podatności na ataki typu SQL Injection. Te luki mogą umożliwić atakującym manipulację zapytaniami do bazy danych.
Luka zdalnego wykonania kodu w wielu produktach Zoho ManageEngine (on-premise) spowodowana użyciem Apache Santuario xmlsec 1.4.1, gdzie funkcje XSLT nie są odpowiednio zabezpieczone. Eksploatacja możliwa tylko jeśli skonfigurowano SAML SSO.
Wtyczka IP Blacklist Cloud autorstwa Adeel Ahmeda w wersjach do 5.00 zawiera podatność na uwierzytelnioną injekcję SQL (SQLi). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
System Call Center opracowany przez Bulutses Information Technologies przed wersją 3.0 ma podatność na nieautoryzowany atak SQL Injection. Problem został naprawiony w wersji 3.0.
W systemie operacyjnym terminala GullsEye występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji przed 5.0.13.
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Podatność przepełnienia bufora opartego na stercie [CWE-122] w FortiOS SSL-VPN 7.2.0 do 7.2.2, 7.0.0 do 7.0.8, 6.4.0 do 6.4.10, 6.2.0 do 6.2.11, 6.0.15 i wcześniejszych oraz FortiProxy SSL-VPN 7.2.0 do 7.2.1, 7.0.7 i wcześniejszych może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu lub poleceń poprzez specjalnie spreparowane żądania.
W TrueConf Server 5.2.0.10225 występuje problem z wstrzykiwaniem SQL w interfejsie API, który pozwala zdalnym, nieautoryzowanym atakującym na wykonywanie dowolnych poleceń SQL, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 5.2.6.10025.
Nieoczekiwana wiadomość w frameworku WebGPU IPC może prowadzić do użycia po zwolnieniu (use-after-free) i możliwej do wykorzystania ucieczki z piaskownicy. Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
W Softr v2.0 odkryto podatność na wstrzykiwanie kodu HTML przez pole Nazwa na stronie Konta. Atakujący może wprowadzić złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.
W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem związany z potencjalnym przepełnieniem bufora w pamięci oraz nadmiernym odczytem bufora w DTLS. Problem występuje, gdy włączona jest opcja MBEDTLS_SSL_DTLS_CONNECTION_ID, a MBEDTLS_SSL_CID_IN_LEN_MAX jest większe niż 2 * MBEDTLS_SSL_CID_OUT_LEN_MAX.
Alist w wersji 3.4.0 jest podatny na atak typu Directory Traversal, co pozwala na dostęp do plików i katalogów poza zamierzonymi ścieżkami. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu plików.
Wtyczka Cryptocurrency Widgets Pack w wersji 1.8.1 i wcześniejszych zawiera podatność na nieautoryzowany atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W Proxmox Virtual Environment przed wersją 7.2-3 wykryto odbitą podatność na skrypty między witrynami (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez nieistniejące punkty końcowe w ścieżce /api2/html/.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS