Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wykryto podatność w projekcie y_project RuoYi do wersji 4.7.7, klasyfikowaną jako problematyczną. Dotyczy ona funkcji filterKeyword, gdzie manipulacja wartością argumentu prowadzi do nadmiernego zużycia zasobów.
IBM TXSeries dla wielu platform w wersjach 8.1, 8.2, 9.1 oraz CICS TX Standard i Advanced w wersjach 10.1 i 11.1 nie ustawia atrybutu secure dla tokenów autoryzacyjnych i ciasteczek sesyjnych. To może umożliwić atakującym przechwycenie wartości ciasteczek poprzez wysłanie linku HTTP do użytkownika.
IBM TXSeries dla wielu platform w wersjach 8.1, 8.2, 9.1 oraz CICS TX Standard i Advanced w wersjach 10.1 i 11.1 mogą przesyłać wrażliwe informacje w parametrach zapytań, które mogą być przechwycone przy użyciu technik typu man-in-the-middle.
W systemie SourceCodester Online Discussion Forum Site 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem 'title' w pliku admin/posts/manage_post.php. Atak może być przeprowadzony zdalnie.
W systemie SourceCodester Online Discussion Forum Site w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross site scripting (XSS) poprzez manipulację argumentem 'content' w pliku admin\posts\manage_post.php.
Podatność w narzędziu CLI notation umożliwia atakującemu, który przejął kontrolę nad rejestrem, dodanie dużej liczby podpisów do artefaktu, co może prowadzić do odmowy usługi na maszynie, gdy użytkownik uruchomi polecenie 'notation inspect'.
W systemie Dahua Smart Parking Management do wersji 20230528 zidentyfikowano podatność, która prowadzi do oszustwa serwera poprzez manipulację argumentem fileUrl. Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do zasobów serwera.
Wykryto podatność w X-WRT luci do wersji 22.10_b202303061504, która dotyczy funkcji run_action w pliku modules/luci-base/ucode/dispatcher.uc. Manipulacja argumentem request_path prowadzi do ataku typu cross site scripting.
W Xpdf występuje podatność związana z nadmiernie dużym rozmiarem strony PDF, co może prowadzić do błędu dzielenia przez zero w kodzie ekstrakcji tekstu. Problem ten został wykryty podczas testów fuzzingowych i jest mało prawdopodobny w normalnych plikach PDF.
W systemie zarządzania szkołą Agro-School Management System 1.0 odkryto podatność, która dotyczy funkcji doAddQuestion w pliku btn_functions.php. Manipulacja argumentem Question prowadzi do ataku typu cross-site scripting (XSS).
W systemie 07FLY CRM w wersjach do 1.2.0 zidentyfikowano podatność, która prowadzi do ataków typu cross site scripting (XSS) poprzez manipulację kodem komponentu User Profile Handler. Atak może być przeprowadzony zdalnie.
W wersjach JetBrains Ktor przed 2.3.1 nagłówki zawierające dane uwierzytelniające mogły być dodawane do wiadomości wyjątku.
W systemie biurowym Guangdong Pythagorean OA do wersji 4.50.31 zidentyfikowano podatność, która dotyczy nieznanej funkcjonalności komponentu Schedule Handler. Manipulacja argumentem 'description' prowadzi do ataku typu cross site scripting.
W systemie SourceCodester Lost and Found Information System 1.0 zidentyfikowano podatność, która umożliwia podstawowe ataki typu cross site scripting poprzez manipulację argumentami Imię/Drugie Imię/Nazwisko na stronie zarządzania użytkownikami.
Wykryto podatność w yiwent Vip Video Analysis 1.0, która dotyczy nieznanej funkcjonalności pliku admin/admincore.php. Manipulacja prowadzi do ataku typu cross site scripting (XSS), który może być przeprowadzony zdalnie.
Wykryto podatność w BeipyVideoResolution do wersji 2.6, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku admin/admincore.php.
W systemie zarządzania wyszukiwarką lokalnych usług SourceCodester w wersji 1.0 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację parametrem POST w pliku /admin/ajax.php. Wprowadzenie złośliwego skryptu, takiego jak <script>alert(document.cookie)</script>, może prowadzić do nieautoryzowanego dostępu do danych użytkownika.
Aplikacja Kalendarz dla Nextcloud ujawnia niektóre wewnętrzne ścieżki strony, gdy serwer SMTP jest niedostępny. Zaleca się aktualizację aplikacji Kalendarz do wersji 3.5.5 lub 4.2.3.
Nextcloud Mail to aplikacja pocztowa w Nextcloud, która jest podatna na atak typu blind SSRF. Atak ten umożliwia wysyłanie żądań GET do usług działających na tym samym serwerze WWW.
Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Platforma nie filtruje danych wejściowych i nie koduje danych wyjściowych w komunikacie o błędzie walidacji Quick Post, co może prowadzić do ataku XSS.