Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Tenda AC15 w wersji 15.03.05.18 funkcja websGetVar w pliku /goform/SysToolChangePwd jest podatna na przepełnienie bufora stosu poprzez manipulację argumentami oldPwd/newPwd/cfmPwd. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
W code-projects Simple IT Discussion Forum 1.0 stwierdzono podatność w pliku /pages/content.php. Manipulacja argumentem post_id prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
W pliku /functions/addcomment.php w Simple IT Discussion Forum 1.0 występuje podatność na wstrzykiwanie SQL poprzez parametr postid. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Wtyczka Vertex Addons for Elementor dla WordPressa we wszystkich wersjach do 1.6.4 włącznie zawiera brak autoryzacji w funkcji activate_required_plugins(). Sprawdzenie uprawnień current_user_can('install_plugins') nie przerywa wykonania w przypadku niepowodzenia – ustawia jedynie zmienną komunikatu błędu, podczas gdy kod instalacji i aktywacji wtyczki jest wykonywany. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą instalować i aktywować dowolne wtyczki z repozytorium WordPress.
W pliku /question-function.php w Simple IT Discussion Forum 1.0 występuje podatność na wstrzykiwanie SQL przez argument content. Atak może być przeprowadzony zdalnie, a exploit został ujawniony.
W Simple Laundry System 1.0 w pliku /userchecklogin.php występuje podatność na wstrzykiwanie SQL poprzez parametr userid. Atak może być przeprowadzony zdalnie, a exploit został ujawniony.
W routerze D-Link DIR-645 w wersjach 1.01/1.02/1.03 wykryto podatność na przepełnienie bufora stosu w funkcji hedwigcgi_main pliku /cgi-bin/hedwig.cgi. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony. Produkt nie jest już wspierany przez producenta.
W PHPGurukul Online Course Registration 3.1 wykryto podatność w pliku /admin/check_availability.php. Manipulacja argumentem regno prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
PHPGurukul Online Course Registration 3.1 zawiera podatność na iniekcję SQL w pliku /check_availability.php poprzez manipulację argumentem cid. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Podatność w GitLab CE/EE (wersje od 16.9.6 przed 18.8.9, 18.9 przed 18.9.5, 18.10 przed 18.10.3) umożliwia uwierzytelnionemu użytkownikowi wywołanie niezamierzonych metod po stronie serwera przez połączenia WebSocket z powodu nieprawidłowej kontroli dostępu.
GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 12.10 przed 18.8.9, 18.9 przed 18.9.5 oraz 18.10 przed 18.10.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi z powodu niewłaściwej walidacji danych wejściowych JSON.
GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 13.0 przed 18.8.9, 18.9 przed 18.9.5 oraz 18.10 przed 18.10.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie powtarzających się zapytań GraphQL.
W Google Chrome przed wersją 147.0.7727.55 stwierdzono niedostateczną walidację danych wejściowych w komponencie WebML. Zdalny atakujący może wykorzystać tę podatność do zapisu poza dozwolonym obszarem pamięci poprzez spreparowaną stronę HTML.
Podatność typu Type Confusion w CSS w przeglądarce Google Chrome przed wersją 147.0.7727.55 umożliwia atakującemu, który przekona użytkownika do zainstalowania złośliwego rozszerzenia, potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanego rozszerzenia Chrome. (Waga bezpieczeństwa Chromium: Niska)
Podatność odczytu poza zakresem w Blink w Google Chrome przed wersją 147.0.7727.55 umożliwia zdalnemu atakującemu odczyt pamięci poza zakresem poprzez spreparowaną stronę HTML. (Waga: Niska)
Przepełnienie liczby całkowitej w WebRTC w Google Chrome przed wersją 147.0.7727.55 umożliwia zdalnemu atakującemu zapis poza zakresem pamięci przez spreparowaną stronę HTML.
Przepełnienie liczb całkowitych w komponencie Media w Google Chrome przed wersją 147.0.7727.55, które może pozwolić zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowany plik wideo. (Waga bezpieczeństwa Chromium: Niska)
Przepełnienie liczb całkowitych w komponencie Media w Google Chrome przed wersją 147.0.7727.55, które może pozwolić zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowany plik wideo. (Waga bezpieczeństwa Chromium: Niska)
Przepełnienie liczby całkowitej w komponencie Media w przeglądarce Google Chrome przed wersją 147.0.7727.55 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowany plik wideo. Problem ma niski priorytet bezpieczeństwa Chromium.
W Google Chrome przed wersją 147.0.7727.55 stwierdzono niedostateczną walidację danych w komponencie Media. Zdalny atakujący może wykorzystać tę podatność do odczytu poza dozwolonym obszarem pamięci poprzez spreparowany plik wideo.