Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Niewystarczająca walidacja niezaufanych danych wejściowych w komponencie Feedback w przeglądarce Google Chrome przed wersją 147.0.7727.138. Zdalny atakujący po przejęciu procesu renderowania mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Użycie po zwolnieniu w komponencie Accessibility w przeglądarce Google Chrome na systemie Windows przed wersją 147.0.7727.138. Zdalny atakujący po przejęciu procesu renderowania mógł potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML. Krytyczny poziom zagrożenia.
Podatność use-after-free w komponencie Views w Google Chrome na Windows przed wersją 147.0.7727.138. Zdalny atakujący, który skompromitował proces renderowania, może potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
W Google Chrome na Androidzie przed wersją 147.0.7727.138 wykryto podatność use-after-free w komponencie WebView, umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu w sandboxie poprzez spreparowaną stronę HTML. (Wysoka dotkliwość wg Chromium)
W Google Chrome przed wersją 147.0.7727.138 wykryto podatność use-after-free w komponencie WebRTC, umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu w sandboxie poprzez spreparowaną stronę HTML. (Wysoka dotkliwość wg Chromium)
W Google Chrome przed wersją 147.0.7727.138 wykryto podatność przepełnienia bufora sterty w komponencie WebRTC, która pozwalała zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. (Krytyczność: Średnia)
Podatność use-after-free w komponencie Cast przeglądarki Google Chrome przed wersją 147.0.7727.138. Atakujący w lokalnym segmencie sieci może potencjalnie wykorzystać uszkodzenie sterty poprzez złośliwy ruch sieciowy.
Google Chrome przed wersją 147.0.7727.138 zawiera podatność typu Type Confusion w V8, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu w piaskownicy za pomocą spreparowanej strony HTML.
Podatność use-after-free w komponencie WebRTC w przeglądarce Google Chrome przed wersją 147.0.7727.138. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w piaskownicy.
Podatność use-after-free w komponencie media przeglądarki Google Chrome przed wersją 147.0.7727.138. Zdalny atakujący może wykorzystać specjalnie spreparowaną stronę HTML do wykonania dowolnego kodu w piaskownicy.
W Google Chrome na Macu przed wersją 147.0.7727.138 występuje podatność use-after-free w komponencie Views, która może być wykorzystana przez zdalnego atakującego za pomocą spreparowanej strony HTML do potencjalnego uszkodzenia sterty. (Wysoka dotkliwość)
Podatność w module mod_sql w ProFTPD przed wersją 1.3.9a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez nazwę użytkownika, gdy rejestrowane są żądania USER z rozwinięciem takim jak %U, a backend SQL pozwala na wykonywanie poleceń (np. COPY TO PROGRAM).
W elinsky execution-system-mcp 0.1.0 stwierdzono podatność na path traversal w funkcji _get_context_file_path pliku server.py, w narzędziu add_action Tool, poprzez argument context.
W narzędziu eiliyaabedini aider-mcp do wersji 667b914301aada695aab0e46d1fb3a7d5e32c8af wykryto podatność na wstrzykiwanie poleceń w funkcji code_with_ai pliku aider_mcp.py. Argumenty working_dir i editable_files są nieprawidłowo walidowane, co umożliwia zdalne wykonanie poleceń.
W eiceblue spire-pdf-mcp-server 0.1.1 stwierdzono podatność na path traversal w funkcji get_pdf_path pliku src/spire_pdf_mcp/server.py. Manipulacja argumentem filepath umożliwia zdalny atak.
W eiceblue spire-doc-mcp-server 1.0.0 wykryto podatność na path traversal w funkcji get_doc_path pliku src/spire_doc_mcp/api/base.py. Manipulacja argumentem document_name umożliwia zdalny atak.
Outline w wersjach od 0.86.0 do 1.7.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym API `shares.create`. Gdy w żądaniu podano zarówno `collectionId`, jak i `documentId`, logika autoryzacji sprawdza tylko dostęp do kolekcji, ignorując dokument. Umożliwia to uwierzytelnionemu atakującemu wygenerowanie publicznego linku udostępniania dla dowolnego dokumentu na platformie, w tym dokumentów z innych obszarów roboczych.
OpenClaw przed wersją 2026.4.8 zawiera podatność na eskalację uprawnień, która pozwala wcześniej sparowanym węzłom na ponowne połączenie z poleceniami wymagającymi uprawnień bez potrzeby posiadania zakresu operator.admin.
OpenClaw przed wersją 2026.4.8 zawiera lukę w zabezpieczeniach, która pozwala na obejście mechanizmu ochrony przed modyfikacją trwałych profili przeglądarki. Atakujący mogą wykorzystać tę lukę do zmiany konfiguracji przeglądarki.
OpenClaw przed wersją 2026.4.8 zawiera podatność na eskalację uprawnień w mechanizmie uwierzytelniania HTTP wtyczki bramy, która podnosi żądania operator.read do uprawnień operator.write. Atakujący mogą wykorzystać to, wysyłając żądania z zakresem odczytu przez trasę uwierzytelniania bramy, aby uzyskać nieautoryzowany dostęp do operacji zapisu.