Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.08)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku ics213.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametr POST frm_add_str, który jest bezpośrednio umieszczany w atrybucie wartości ukrytego pola formularza HTML.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku ics205a.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametr POST frm_add_str, który jest bezpośrednio umieszczany w atrybucie wartości ukrytego pola formularza HTML.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku ics205.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametr POST frm_add_str, który jest bezpośrednio umieszczany w atrybucie wartości ukrytego pola formularza HTML.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku ics202.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametr POST frm_add_str, który jest bezpośrednio umieszczany w atrybucie wartości ukrytego pola formularza HTML.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku icons/buttons/landb.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanych wartości w parametrach POST frm_name i frm_id, które są bezpośrednio renderowane w HTML i inline JavaScript.
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku delete_module.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametry POST (module_choice, flag, confirmation), które są bezpośrednio umieszczane w renderowanej treści HTML i atrybutach akcji formularza.
W Open ISES Tickets przed wersją 3.44.2 w pliku db_loader.php występuje odbita podatność XSS. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanych wartości w parametrach POST (ticketshost, ticketsdb, ticketsuser, ticketspassword, ticketsprefix, db_schema) bezpośrednio do atrybutów wartości pól formularza HTML.
W Open ISES Tickets przed wersją 3.44.2 w pliku circle.php występuje odbita podatność XSS. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanej wartości w parametrze POST frm_id bezpośrednio do atrybutu wartości pola formularza HTML.
W Open ISES Tickets przed wersją 3.44.2 w pliku add_nm.php występuje odbita podatność XSS. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanej wartości w parametrze POST ticket_id bezpośrednio do atrybutu wartości pola formularza HTML oraz do literału ciągu znaków w JavaScript.
Wtyczka HAPPY od VillaTheme do wersji 1.0.10 zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
W Open ISES Tickets przed wersją 3.44.2 występuje odbita podatność XSS w pliku add.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez niesanitowany parametr POST ticket_id, który jest bezpośrednio umieszczany w atrybucie value pola formularza HTML.
Podatność na przepełnienie bufora w narzędziu Uncrustify (wersja v.Uncrustify_d-0.82.0-132-bcc41cbdc) występuje w funkcjach check_template, tokenize_cleanup oraz w pliku check_template.cpp. Lokalny atakujący może spowodować odmowę usługi (DoS).
Niewłaściwe ograniczenie nadmiernych prób uwierzytelnienia w aplikacji mobilnej Turkiye Electricity Transmission Corporation (TEİAŞ) umożliwia atak brute force. Problem dotyczy wersji od 1.6.2 do 1.13 (przed 1.13).
Niewystarczające wygasanie sesji w aplikacji mobilnej Turkiye Electricity Transmission Corporation (TEİAŞ) umożliwia przejęcie sesji. Problem dotyczy wersji od 1.6.2 do 1.13 (przed 1.13).
Podatność typu directory traversal w serwerze Apex One (wersja on-premise) umożliwia przedautoryzowanemu lokalnemu atakującemu modyfikację tabeli kluczy na serwerze w celu wstrzyknięcia złośliwego kodu, który zostanie wdrożony na agentach. Atak wymaga dostępu do serwera Apex One i uzyskania wcześniej poświadczeń administracyjnych inną metodą.
Request Tracker jest podatny na odbity XSS przez parametr "Page" w żądaniach GET. Atakujący może stworzyć URL, który po otwarciu wykonuje dowolny JavaScript w przeglądarce ofiary. Dotyczy wersji 5.0.4-5.0.9 oraz 6.0.0-6.0.2.
W jądrze Linuxa w podsystemie sieciowym wykryto podatność w dyscyplinie kolejkowania RED. Gdy RED ma dzieci (np. qfq), a rodzic (np. tbf) wywołuje dequeue po peek(), może dojść do dereferencji pustego wskaźnika i paniki jądra. Problem rozwiązano zastępując bezpośrednie wywołanie dequeue przez qdisc_dequeue_peeked().
Produkt może ujawnić poświadczenia zdalnie między użytkownikami wizualizacji o niskich uprawnieniach podczas równoczesnych operacji logowania z powodu niewystarczającej izolacji danych uwierzytelniania. Podatność dotyczy tylko operacji logowania w aktywnej sesji wizualizacji.
W usłudze cap_net, gdy klucz obecny w starym limicie został pominięty w nowym, brakujący klucz był traktowany jako „zezwól na wszystko” zamiast odrzucenia. W pewnych scenariuszach aplikacja, która wcześniej ograniczała operacje sieciowe, mogła zażądać nowego limitu rozszerzającego uprawnienia procesu.
W jądrze FreeBSD (fusefs) podczas obsługi rozszerzonych atrybutów, moduł jądra fusefs wywołuje strlen() na buforze dostarczonym przez demona przestrzeni użytkownika bez uprzedniego sprawdzenia, czy cała lista jest zakończona znakiem NUL. Złośliwy demon może wysłać listę niezakończoną NUL, co powoduje odczyt poza zakresem jednego bufora i potencjalny zapis poza zakresem drugiego bufora.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS