Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W ACEweb Online Portal 3.5.065 odkryto podatność nieograniczonego przesyłania plików przez attachments.awp. Umożliwia to atakującemu wgranie dowolnego pliku na serwer.
Urządzenie TOTOLINK EX1200T w wersji oprogramowania V4.1.2cu.5215 zawiera podatność na wstrzykiwanie poleceń, która umożliwia zdalne wykonanie dowolnego kodu.
W systemie zamawiania jedzenia online w wersji 1.0 odkryto podatność na wstrzykiwanie SQL poprzez parametr Search w pliku food-search.php.
W urządzeniu D-Link DSL-G2452DG (wersja sprzętowa T1, oprogramowanie ME_2.00) wykryto niebezpieczne ustawienia uprawnień. Luka ta może umożliwić nieautoryzowanym użytkownikom dostęp do wrażliwych funkcji lub danych.
W Tiddlywiki5 w wersji 5.2.2 wykryto podatność polegającą na dowolnym przesyłaniu plików w module uploadu. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku SVG.
W SolarView Compact w wersji 6.00 odkryto podatność na wstrzyknięcie komend w pliku conf_mail.php. Atakujący może wykorzystać tę podatność do wykonania dowolnych komend systemowych na urządzeniu.
W oprogramowaniu sprzętowym Zyxel USG FLEX, ATP i VPN odkryto podatność na wstrzyknięcie komend systemu operacyjnego w programie CGI. Podatność pozwala atakującemu na modyfikację określonych plików i wykonanie komend systemowych na podatnym urządzeniu. Dotyczy to wielu wersji firmware, m.in. USG FLEX 100(W) 5.00-5.21 Patch 1, USG FLEX 200, 500, 700, USG FLEX 50(W), USG20(W)-VPN, ATP i VPN.
Wtyczka RSVPMaker dla WordPressa jest podatna na nieautoryzowaną injekcję SQL z powodu braku odpowiedniego zabezpieczenia i parametryzacji danych dostarczanych przez użytkowników w pliku rsvpmaker-api-endpoints.php. Umożliwia to nieautoryzowanym atakującym kradzież wrażliwych informacji z bazy danych w wersjach do 9.2.6 włącznie.
Wtyczka RSVPMaker dla WordPressa jest podatna na nieautoryzowaną injekcję SQL z powodu braku odpowiedniego zabezpieczenia i parametryzacji danych dostarczanych przez użytkowników w zapytaniach SQL w pliku rsvpmaker-util.php. Atakujący mogą uzyskać dostęp do wrażliwych informacji z bazy danych w wersjach do 9.2.5 włącznie.
W F5 BIG-IP w wersjach 16.1.x przed 16.1.2.2, 15.1.x przed 15.1.5.1, 14.1.x przed 14.1.4.6, 13.1.x przed 13.1.5 oraz wszystkich wersjach 12.1.x i 11.6.x, nieujawnione żądania mogą ominąć uwierzytelnianie iControl REST. Umożliwia to atakującemu dostęp do interfejsu zarządzania bez uwierzytelnienia.
W OpenLDAP 2.x przed 2.5.12 i 2.6.x przed 2.6.2 istnieje podatność na wstrzykiwanie SQL w eksperymentalnym backendzie back-sql dla slapd, poprzez instrukcję SQL w zapytaniu LDAP. Może to wystąpić podczas operacji wyszukiwania LDAP, gdy przetwarzany jest filtr wyszukiwania, z powodu braku odpowiedniego escapowania.
Podatność na dowolne przesyłanie plików w Web@rchiv 1.0 umożliwia atakującym wykonanie dowolnych poleceń poprzez spreparowany plik PHP.
W systemie Doctor's Appointment System 1.0 od Sourcecodester wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego pliku jako obrazu z panelu administratora. Atakujący może uzyskać pełną kontrolę nad serwerem, znając jedynie ścieżkę przechowywania przesłanych plików.
W routerach Ruijie RG-EW Series z systemem ReyeeOS do wersji 1.55.1915 / EW_3.0(1)B11P55 wykryto podatność na zdalne wykonanie kodu (RCE). Luka znajduje się w funkcji checkNet w skrypcie /cgi-bin/luci/api/auth.
Podatność w SiteServer CMS w wersji 7.x umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowaną wtyczkę. Luka wynika z braku odpowiedniego sprawdzania bezpieczeństwa wtyczek ładowanych do systemu.
Podatność w oprogramowaniu Wondershare Dr. Fone (wersja z 2021-12-06) umożliwia zdalne wykonanie kodu. Niezautoryzowany użytkownik może komunikować się przez UDP z usługą InstallAssistService.exe działającą z uprawnieniami SYSTEM i manipulować nią w celu wykonania złośliwego pliku bez żadnej walidacji, co prowadzi do uzyskania uprawnień SYSTEM.
Podatność w bibliotece httpx przed wersją 0.23.0 wynika z nieprawidłowej walidacji danych wejściowych w klasach `httpx.URL`, `httpx.Client` oraz w funkcjach korzystających z `httpx.URL.copy_with`. Może to prowadzić do nieoczekiwanego zachowania lub potencjalnych ataków.
CuppaCMS v1.0 zawiera podatność na wstrzykiwanie SQL w pliku /administrator/alerts/alertLightbox.php. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
CuppaCMS v1.0 zawiera podatność na wstrzykiwanie SQL w parametrze menu_filter w pliku /administrator/templates/default/html/windows/right.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W Apache CouchDB przed wersją 3.2.2, atakujący może uzyskać dostęp do nieprawidłowo zabezpieczonej domyślnej instalacji bez uwierzytelniania i uzyskać uprawnienia administratora. Dokumentacja CouchDB zawsze zalecała odpowiednie zabezpieczenie instalacji, w tym użycie zapory sieciowej przed wszystkimi instalacjami.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS