Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CVE-2022-27518 umożliwia zdalne wykonanie dowolnego kodu bez uwierzytelnienia. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
Wtyczka Dokan dla WordPressa w wersjach przed 3.7.6 nieprawidłowo sanitizuje i ucieka parametr przed jego użyciem w zapytaniu SQL, co prowadzi do podatności na atak typu SQL injection, którą mogą wykorzystać nieautoryzowani użytkownicy.
Występuje podatność wstrzyknięcia poleceń, która może prowadzić do nieuwierzytelnionego zdalnego wykonania kodu poprzez wysłanie specjalnie spreparowanych pakietów do portu UDP 8211 protokołu PAPI (Aruba Networks AP management protocol). Udana eksploatacja pozwala na wykonanie dowolnego kodu z uprawnieniami uprzywilejowanego użytkownika w systemie operacyjnym.
Podatność w oprogramowaniu Brocade Fabric OS w wersjach v9.1.1, v9.0.1e, v8.2.3c, v7.4.2j i wcześniejszych umożliwia zdalnemu, nieautoryzowanemu atakującemu wykonanie poleceń na przełączniku Brocade Fabric OS. Atakujący może m.in. modyfikować strefy, wyłączać przełącznik, dezaktywować porty oraz zmieniać adres IP przełącznika.
Podatność CVE-2022-42699 dotyczy wtyczki Easy WP SMTP w wersjach do 1.5.1 na platformie WordPress, umożliwiająca zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Wykorzystanie tej luki może prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu.
Występuje potencjalna podatność na eskalację do zdalnego wykonania kodu (RCE) w przypadku używania kolumn z serializacją YAML w Active Record w wersjach poniżej 7.0.3.1, 6.1.6.1, 6.0.5.1 oraz 5.2.8.1. Atakujący, który ma możliwość manipulacji danymi w bazie danych (np. poprzez SQL injection), może uzyskać możliwość eskalacji do RCE.
Podatność CVE-2022-32221 dotyczy biblioteki libcurl, która może błędnie używać funkcji zwrotnej do odczytu danych (`CURLOPT_READFUNCTION`) podczas transferów HTTP(S), nawet gdy ustawiono opcję `CURLOPT_POSTFIELDS`. Problem występuje, gdy ten sam uchwyt był wcześniej używany do żądania `PUT`, co może prowadzić do wysyłania niewłaściwych danych lub używania pamięci po jej zwolnieniu w kolejnych żądaniach `POST`.
Cacti zawiera podatność na wstrzyknięcie poleceń w pliku remote_agent.php, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze. Atakujący może obejść autoryzację, fałszując nagłówek HTTP (np. Forwarded-For), a następnie wykorzystać parametr poller_id do wstrzyknięcia poleceń systemowych. Wymagane jest istnienie wpisu poller_item z akcją POLLER_ACTION_SCRIPT_PHP, co jest prawdopodobne na produkcyjnych instancjach.
W Rukovoditel v3.2.1 odkryto podatność na wstrzykiwanie SQL przez parametr heading_field_id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku phasesets.php poprzez parametr id. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku deleteapprovalstages.php poprzez parametr id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Podatność SQL Injection w systemie informacji studenckiej Prens firmy Algan Software umożliwia atak SQL Injection. Problem dotyczy wersji systemu przed 2.1.11.
System Zarządzania Zapasami w wersji 1.0 jest podatny na atak typu SQL Injection poprzez stronę /ims/login.php. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie updateNullByEmptyString. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W systemie Jeecg-boot w wersji 3.4.3 wykryto podatność na wstrzykiwanie SQL w komponencie /sys/duplicate/check. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.
W systemie Orchard CMS 1.10.3 wykryto podatność na atak XSS. Użytkownik z niskimi uprawnieniami (autor lub wydawca) może wstrzyknąć złośliwy kod HTML i JavaScript w treść wpisu blogowego, co po załadowaniu przez administratora prowadzi do przejęcia jego konta lub eskalacji uprawnień.
Przepełnienie bufora sterty w GPU w Google Chrome przed 107.0.5304.121 pozwalało zdalnemu atakującemu, który przejął proces renderowania, na potencjalne wykonanie ucieczki z piaskownicy poprzez spreparowaną stronę HTML. (Waga bezpieczeństwa Chromium: Wysoka)
W oprogramowaniu sprzętowym Netgear R7000P w wersji V1.3.0.8 wykryto podatność na przepełnienie bufora. Problem występuje podczas przetwarzania parametrów apmode_dns1_pri i apmode_dns1_sec.
W systemie ERP Sankhya przed wersją v4.11b81 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie Caixa de Entrada. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS