Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Przepełnienie liczby całkowitej w komponencie QUIC przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który przejął proces renderowania, mógł potencjalnie opuścić piaskownicę za pomocą spreparowanej strony HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie Chromecast przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który przejął proces renderowania, mógł potencjalnie opuścić piaskownicę za pomocą spreparowanej strony HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie ANGLE przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który przejął proces renderowania, mógł potencjalnie opuścić piaskownicę za pomocą spreparowanej strony HTML.
Użycie po zwolnieniu w komponencie Views przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który przejął proces renderowania, mógł potencjalnie opuścić piaskownicę za pomocą spreparowanej strony HTML.
Niewłaściwa implementacja w komponencie Chrome dla iOS w przeglądarce Google Chrome na iOS przed wersją 151.0.7922.72. Zdalny atakujący mógł potencjalnie opuścić piaskownicę za pomocą spreparowanej strony HTML.
Błąd kryptograficzny w komponencie Enterprise przeglądarki Google Chrome przed wersją 151.0.7922.72. Atakujący w uprzywilejowanej pozycji sieciowej mógł ominąć kontrolę dostępu za pomocą złośliwego ruchu sieciowego.
Podatność Use-after-free w komponencie Ozone przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie ANGLE przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Podatność Use-after-free w komponencie Views przeglądarki Google Chrome przed wersją 151.0.7922.72. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie Dawn przeglądarki Google Chrome na Androidzie przed wersją 151.0.7922.72. Zdalny atakujący mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
System zarządzania szpitalem kishan0725 w wersji 4.0 jest podatny na iniekcję SQL w pliku get_doctor.php poprzez parametry doctor i specilizationid.
System zarządzania szpitalem kishan0725 w wersji 4.0 zawiera podatność na wstrzykiwanie SQL w pliku /hms/doctor/view-patient.php poprzez parametr viewid.
System CASAP Automated Enrollment System 1.0 od Sourcecodester jest podatny na wstrzykiwanie SQL w pliku save_stud.php poprzez parametry fname, lname i student_class.
Podatność SQL Injection w systemie CASAP Automated Enrollment System 1.0. Atakujący może wstrzyknąć złośliwe zapytanie SQL przez parametr class_name w pliku update_class.php.
Podatność SQL Injection w Hospital Management System 4.0. Atakujący może wstrzyknąć złośliwe zapytanie SQL przez plik /betweendates-detailsreports.php.
Podatność w Flyto2 Core przed wersją 2.26.6 pozwala atakującemu na zapis plików w dowolnej lokalizacji systemu plików poprzez kontrolowanie parametru output_dir w module image.download. Brak walidacji ścieżki względem konfiguracji FLYTO_SANDBOX_DIR umożliwia zapis danych odpowiedzi w dowolnym miejscu.
Podatność w Flyto2 Core przed wersją 2.26.7 w usłudze flyto-verification umożliwia nieuwierzytelnionym atakującym wykonanie SSRF i kradzież sekretu runnera. Serwer nasłuchuje na 0.0.0.0:8344 i używa callback_url podanego przez klienta do wysłania żądania POST z nagłówkiem X-Internal-Key, pomijając walidację target_allowed.
Podatność w consul-mcp-server w wersjach 0.1.0 do 0.1.3 powoduje, że token uwierzytelniający Consul jednego klienta może być użyty w kolejnych żądaniach innych klientów w trybie bezstanowym. Brak izolacji stanu sesji umożliwia nieautoryzowany dostęp do zasobów Consul.
Podatność SSRF w IBM WebSphere Application Server 9.0, 8.5 oraz Liberty 17.0.0.3-26.0.0.8 występuje, gdy włączona jest funkcja SIP container (sipServlet-1.1). Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów.
Care Everywhere Gateway 14.3.10 zawiera zakodowane na stałe domyślne poświadczenia w interfejsie zarządzania WildFly 8.2.0.Final, co pozwala nieuwierzytelnionym atakującym na zdalne uzyskanie dostępu administracyjnego. Atakujący może wdrożyć złośliwy plik WAR przez konsolę na porcie 20990 i uzyskać zdalne wykonanie kodu.