Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.21)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Moduł obiektów w Liferay Portal w wersjach od 7.4.3.4 do 7.4.3.60 oraz Liferay DXP 7.4 przed aktualizacją 61 nie segmentuje definicji obiektów według wirtualnej instancji w wyszukiwaniach. Umożliwia to zdalnym, uwierzytelnionym użytkownikom w jednej wirtualnej instancji przeglądanie definicji obiektów z drugiej wirtualnej instancji.
Moduł Object w Liferay Portal w wersjach 7.4.3.4 do 7.4.3.48 oraz Liferay DXP 7.4 przed aktualizacją 49 nie izoluje poprawnie obiektów w różnych instancjach wirtualnych. Umożliwia to zdalnym uwierzytelnionym użytkownikom w jednej instancji wirtualnej przeglądanie obiektów w innej instancji wirtualnej za pośrednictwem strony administracyjnej zakresu OAuth 2.
Wtyczka Jenkins SAML Single Sign On (SSO) w wersji 2.1.0 i wcześniejszych bezwarunkowo wyłącza walidację certyfikatów SSL/TLS dla połączeń z miniOrange lub skonfigurowanym IdP w celu pobrania metadanych SAML.
W systemie SourceCodester Best POS Management System 1.0 stwierdzono podatność typu cross-site scripting (XSS) w nieznanej funkcji pliku index.php?page=add-category. Manipulacja argumentem Name za pomocą danych wejściowych "><img src=x onerror=prompt(document.domain);> prowadzi do wykonania skryptu. Atak może być przeprowadzony zdalnie.
Podatność w produkcie MySQL Shell firmy Oracle MySQL (komponent: Shell: General/Core Client) dotyczy wersji 8.0.28 i wcześniejszych. Umożliwia nieautoryzowanemu atakującemu, który ma dostęp do infrastruktury, w której działa MySQL Shell, kompromitację tego narzędzia, wymagając jednocześnie interakcji ze strony innej osoby.
W OpenSSH przed wersją 8.9 odkryto problem związany z uwierzytelnianiem kluczem publicznym przy użyciu przekazywania agenta. Jeśli atakujący zmodyfikował serwer, aby wspierał opcję uwierzytelniania None, użytkownik nie może określić, czy uwierzytelnienie FIDO potwierdza chęć połączenia z serwerem, czy też pozwala temu serwerowi na połączenie z innym serwerem w imieniu użytkownika.
Podatność CVE-2020-8562 dotyczy mechanizmu w Kubernetes, który ma na celu zapobieganie dostępowi do sieci lokalnych i localhost przez połączenia proxy. W wyniku błędu w walidacji odpowiedzi DNS, użytkownik może ominąć te ograniczenia i uzyskać dostęp do prywatnych sieci w kontrolerze.
Podatność na spoofing w Microsoft Edge dla iOS. Atakujący może podszyć się pod zaufaną treść, co może prowadzić do wyświetlania fałszywych informacji użytkownikowi.
Podatność na spoofing w Microsoft Edge (Chromium-based). Atakujący może podszyć się pod zaufaną treść, co może prowadzić do wyświetlania fałszywych informacji użytkownikowi.
Podatność na ujawnienie informacji w Azure RTOS. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Podatność na ujawnienie informacji w Azure RTOS. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Podatność na ujawnienie informacji w Azure Sphere. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Podatność na ujawnienie informacji w Azure RTOS. Szczegóły nie są podane w opisie, ale podatność może prowadzić do wycieku danych.
Wszystkie wersje GitLab CE/EE od 13.9 do 14.2.6, od 14.3 do 14.3.4 oraz od 14.4 do 14.4.1 mają lukę w kontroli dostępu, która ujawnia prywatne adresy e-mail przypisanych do zgłoszeń i żądań scalania konsumentom danych Webhook.
W Kubernetes odkryto problem bezpieczeństwa, który może umożliwić użytkownikom wysyłanie ruchu sieciowego do lokalizacji, do których normalnie nie mieliby dostępu, poprzez atak 'confused deputy'.
Podatność w głośnikach biurkowych Winner (ToneWinner) do 9 sierpnia 2021 roku umożliwia zdalnym atakującym odzyskanie sygnałów mowy z diody LED wskaźnika zasilania za pomocą teleskopu i czujnika elektrooptycznego, co jest znane jako atak 'Glowworm'.
Podczas wpisywania hasła w określonych warunkach może wystąpić wyścig, w wyniku którego InputContext nie zostanie poprawnie ustawiony dla pola wejściowego, co prowadzi do zapisania wpisanego hasła w słowniku klawiatury. Podatność dotyczy Firefox dla Androida w wersjach starszych niż 80.
Podatność na podniesienie uprawnień w Microsoft Edge (Chromium-based) związana z nieprawidłową walidacją danych wejściowych w rozszerzeniu Feedback. Atakujący może zapisywać pliki w dowolnych lokalizacjach i uzyskać podniesione uprawnienia. Sama podatność nie pozwala na uruchomienie dowolnego kodu, ale może być wykorzystana z innymi lukami.
W Apache Log4j SMTP appender występuje niewłaściwa walidacja certyfikatu w przypadku niezgodności hosta. Może to umożliwić przechwycenie połączenia SMTPS przez atak typu man-in-the-middle, co może prowadzić do ujawnienia wszelkich wiadomości logów przesyłanych przez ten appender.
W wersjach PHP 7.2.x poniżej 7.2.26, 7.3.x poniżej 7.3.13 oraz 7.4.0, funkcje rozszerzenia bcmath na niektórych systemach, w tym Windows, mogą zostać oszukane do odczytu poza przydzielonym obszarem pamięci poprzez podanie ciągu znaków zawierającego znaki identyfikowane przez system operacyjny jako numeryczne, ale niebędące cyframi ASCII. Może to prowadzić do ujawnienia zawartości niektórych lokalizacji pamięci.