Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.10)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
LINQPad w wersjach przed 5.52.01 Pro jest podatny na niebezpieczną deserializację w metodzie LINQPad.AutoRefManager::PopulateFromCache(), co może prowadzić do wykonania złośliwego kodu.
W wersjach yeti-platform przed 2.1.12, atakujący mogą generować ważne tokeny JWT, jeśli sekret nie został zmieniony (poprzez ustawienie YETI_AUTH_SECRET_KEY na wartość inną niż SECRET).
W podatności SSTI (wstrzyknięcie szablonu po stronie serwera) w funkcji eksportu szablonów w yeti-platform przed wersją 2.1.12, atakujący mogą wykonywać kod na serwerze aplikacji.
W BYOB (Build Your Own Botnet) 2.0 występuje problem z wstrzykiwaniem poleceń w stronie budowy ładunku, który pozwala atakującym na wykonywanie dowolnych poleceń na serwerze za pomocą spreparowanego parametru budowy. Problem ten występuje w pliku core/generators.py.
System zarządzania więzieniem w wersji PHP v1.0 zawiera podatność na atak typu SQL injection poprzez nazwę użytkownika na stronie logowania administratora.
RouterOS firmy Mikrotik w wersjach od 6.40.5 do 6.49.10 (naprawione w wersji 7) umożliwia zdalnemu atakującemu spowodowanie awarii urządzenia poprzez wysłanie specjalnie przygotowanych danych pakietów do usługi SMB na porcie TCP 445.
Podatność w NAVER MYBOX Explorer dla Windows przed wersją 3.0.11.160 umożliwia lokalnemu atakującemu eskalację uprawnień do poziomu NT AUTHORITY\SYSTEM poprzez manipulację rejestrem, co wynika z nieprawidłowego sprawdzania uprawnień.
Wykryto podatność w urządzeniu Tenda CX12L w wersji 16.03.53.12, która dotyczy funkcji formSetPPTPServer w pliku /goform/SetPptpServerCfg. Manipulacja tą funkcją prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie.
Wykryto podatność w Totolink X5000R w wersji 9.1.0u.6369_B20230113, która dotyczy funkcji sub_458E40 w pliku /boafrm/formDdns. Manipulacja argumentem submit-url prowadzi do przepełnienia bufora.
UltraDAG to minimalny blockchain DAG-BFT napisany w Rust. Przed commit'em fb6ef59, implementacja StateEngine w UltraDAG miała krytyczną wadę logiczną w swoim pipeline'ie egzekwowania polityki, co pozwalało na nieautoryzowane wydawanie środków z 'Pocket'.
Alkacon OpenCms w wersjach przed 16 umożliwia atak XXE, gdy <!DOCTYPE> odnosi się do zewnętrznego hosta.
Alkacon OpenCms w wersjach przed 10.5.1 umożliwia zdalnym, nieautoryzowanym atakującym uzyskanie wrażliwych informacji poprzez atak XXE na serwlet Chemistry.
W sterowniku Avast i AVG Windows Anti Rootkit przed wersją 22.1 występuje podatność związana z obsługą połączeń socket, która pozwala lokalnym atakującym na wykonanie dowolnego kodu w trybie jądra lub spowodowanie odmowy usługi z powodu uszkodzenia pamięci i awarii systemu operacyjnego.
W zyx0814 FilePress do wersji 2.2.0 wykryto podatność, która umożliwia atak typu SQL injection poprzez manipulację kolejnością argumentów w pliku dzz/shares/admin.php komponentu Shares Filelist API. Atak może być przeprowadzony zdalnie.
Zidentyfikowano słabość w systemie zarządzania urlopami CodeAstro w wersji 1.0. Manipulacja argumentem txt_username w pliku /login.php prowadzi do podatności na atak typu SQL injection.
W systemie SourceCodester SUP Online Shopping 1.0 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji w pliku /admin/replymsg.php. Manipulacja argumentem msgid prowadzi do wstrzykiwania SQL.
Zidentyfikowano podatność w SourceCodester SUP Online Shopping 1.0, która dotyczy nieznanej funkcji w pliku /admin/message.php. Manipulacja argumentem seenid prowadzi do wstrzyknięcia SQL.
W systemie SourceCodester SUP Online Shopping w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku wishlist.php. Manipulacja argumentem delwlistid może prowadzić do wstrzyknięcia SQL.
W electerm, przed wersją 3.7.9, występuje podatność na zdalne wykonanie kodu (RCE) w funkcji edytowania plików SFTP. Nazwa pliku jest przekazywana bez sanitizacji do linii poleceń, co umożliwia atakującemu wykonanie złośliwego kodu na maszynie użytkownika.
W wersjach przed 3.7.16 klienta electerm, funkcja runWidget w pliku load-widget.js tworzy ścieżkę do pliku, łącząc identyfikatory widgetów dostarczone przez użytkownika bez jakiejkolwiek sanitizacji. To umożliwia atakującemu wykonanie dowolnego pliku JavaScript na systemie ofiary.