Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.31)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w systemach macOS (Sequoia, Sonoma, Tahoe) umożliwiająca aplikacji spowodowanie nieoczekiwanego zakończenia systemu lub zapis do pamięci jądra. Problem rozwiązano poprzez poprawę obsługi pamięci.
Podatność w systemach macOS (Sequoia, Sonoma, Tahoe) umożliwiająca zdalnemu użytkownikowi spowodowanie nieoczekiwanego zakończenia systemu lub uszkodzenia pamięci jądra. Problem rozwiązano poprzez poprawę obsługi pamięci.
Połączenie ze złośliwym serwerem SMB może prowadzić do nieoczekiwanego zakończenia działania systemu. Problem został rozwiązany poprzez ulepszone zarządzanie pamięcią.
Zdalny użytkownik może spowodować nieoczekiwane zakończenie działania systemu lub uszkodzenie pamięci jądra. Problem wyścigu został rozwiązany poprzez ulepszone blokowanie.
Podatność use-after-free w systemach Apple. Aplikacja może spowodować nieoczekiwane zakończenie działania systemu.
Podatność w obsłudze pamięci w systemach macOS. Złośliwa aplikacja może uszkodzić pamięć procesu systemowego.
Pheditor zawiera zakodowane na stałe domyślne hasło 'admin' (hash SHA-512). Brak mechanizmu wymuszającego zmianę hasła przy pierwszym logowaniu. Każde wdrożenie z domyślnymi danymi uwierzytelniającymi daje atakującemu pełny dostęp do edytora plików, przesyłania plików i terminala, umożliwiając odczyt/zapis plików i zdalne wykonanie kodu.
Podatność na wstrzyknięcie poleceń systemu operacyjnego w Pheditorze. Uwierzytelniony użytkownik może wykonać dowolne polecenia systemowe poprzez wstrzyknięcie metaznaków powłoki do parametru 'dir' POST, omijając białą listę TERMINAL_COMMANDS.
Podatność w Plack::App::Prerender dla Perla przed wersją 0.3.0 umożliwia proxy do dowolnego hosta poprzez niesprawdzoną konkatenację REQUEST_URI. Gdy baza przepisywania jest zwykłym ciągiem znaków, REQUEST_URI jest do niej dołączany bez sprawdzenia, czy ścieżka zaczyna się od ukośnika. Atakujący może zmienić hosta, wysyłając żądanie zaczynające się od '@', co pozwala na dostęp do wewnętrznych lub ograniczonych hostów.
W JetBrains TeamCity przed wersjami 2026.1.3 i 2025.11.7 możliwe jest nieuwierzytelnione zdalne wykonanie kodu poprzez protokół agent polling.
W komponencie API orkiestratora Arista występuje podatność na manipulację zapytaniami backendowymi przez uwierzytelnionego użytkownika. Może to prowadzić do nieautoryzowanego dostępu do danych oraz inicjowania niechcianych połączeń sieciowych.
phpMyFAQ przed wersją 4.1.6 zawiera podatność na zdalne wykonanie kodu w API konfiguracji. Uwierzytelniony administrator z uprawnieniami CONFIGURATION_EDIT i ATTACHMENT_ADD może manipulować ustawieniem upgrade.lastDownloadedPackage, aby zapisać dowolny plik PHP i uzyskać wykonanie kodu jako użytkownik serwera WWW.
SiYuan desktop przed wersją 3.7.2 zawiera podatność na odbity XSS w handlerze readme wtyczek bazaar. Atakujący może stworzyć złośliwy link siyuan://, który po kliknięciu przez ofiarę wykonuje kod JavaScript z pełnym dostępem do Node.js poprzez insertAdjacentHTML w niebezpiecznie skonfigurowanym Electronie.
VeloCloud Orchestrator (VCO) on-prem ma podatność umożliwiającą zdalnemu atakującemu dostęp do wewnętrznych funkcji, co może wpłynąć na host VCO. Udane wykorzystanie może naruszyć poufność, integralność i dostępność orkiestratora oraz zarządzanych danych. Podatność jest aktywnie wykorzystywana.
Podatność SQL injection w parametrze order_by endpointu /customers/search w Alex Tselegidis EasyAppointments <= 1.5.1. Wynika z niesanityzowanych danych wejściowych przekazywanych do metody order_by CodeIgniter Query Builder, umożliwiając atakującym zapytania czasowe i enumerację schematu. W pewnych konfiguracjach MySQL może prowadzić do zdalnego wykonania kodu przez zapisanie PHP shella za pomocą INTO OUTFILE.
Wtyczka AWP Classifieds dla WordPressa w wersji 4.4.7 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
Wtyczka rtMedia dla WordPress, BuddyPress i bbPress w wersji 4.7.10 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
Wtyczka GamiPress dla WordPressa w wersji 7.9.7 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
Wtyczka Relevanssi Light w wersji 1.2.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący.
Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący.