Analityczne wykorzystywanie plików cookies
Marketingowe wykorzystywanie plików cookies
Wykorzystywanie niezbędnych plików cookies (zawsze aktywne)
Lista ostatnich zagrożeń
Feed jest budowany z NVD, CISA KEV i EPSS, a następnie tłumaczony i cache'owany dla użytkowników DataHouse.
W Ivanti Sentry wykryto krytyczną lukę OS Command Injection umożliwiającą zdalnemu, nieautoryzowanemu użytkownikowi wykonanie kodu na poziomie root. Luka dotyczy wersji przed R10.5.2, R10.6.2 oraz R10.7.1.
W maju 2026 roku odkryto krytyczną lukę w mechanizmie uwierzytelniania peeringowego w Cisco Catalyst SD-WAN Controller, Manager i Validator. Luka pozwala zdalnemu, nieautoryzowanemu atakującemu na ominięcie uwierzytelnienia i uzyskanie uprawnień administrac...
Wtyczka JCE dla Joomla posiada poważną lukę pozwalającą nieautoryzowanym użytkownikom na tworzenie nowych profili edytora, co może prowadzić do przesłania i wykonania złośliwego kodu PHP. Luka ta została oceniona na 10.0 w skali CVSS i jest krytyczna dla be...
W urządzeniach UniFi OS firmy Ubiquiti wykryto krytyczną lukę w walidacji danych wejściowych, która może pozwolić atakującemu z dostępem do sieci na wykonanie zdalnego wstrzyknięcia poleceń. Luka ta została sklasyfikowana jako krytyczna z najwyższym wynikie...
W Fortinet FortiSIEM wykryto krytyczną lukę typu OS command injection, która pozwala atakującemu na wykonanie nieautoryzowanych poleceń poprzez specjalnie spreparowane żądania API. Luka ta wynika z niewłaściwego neutralizowania specjalnych elementów w polec...
Wtyczka GiveWP do WordPressa jest podatna na atak PHP Object Injection poprzez niezaufany parametr 'give_title' w wersjach do 3.14.1 włącznie. Luka umożliwia nieautoryzowanym atakującym zdalne wykonanie kodu i usuwanie plików.
W Fortinet FortiSIEM wykryto krytyczną lukę typu OS Command Injection, która pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane żądania API. Luka ta ma ocenę CVSS 10.0, co wskazuje na bardzo poważne zagrożenie.
Wtyczka LearnPress do WordPressa jest podatna na atak SQL Injection poprzez parametr 'c_only_fields' w REST API, co pozwala nieautoryzowanym atakującym na wykradanie danych z bazy. Luka dotyczy wszystkich wersji do 4.2.7 włącznie.
Wtyczka Dokan Pro do WordPressa w wersjach do 3.10.3 włącznie jest podatna na atak SQL Injection poprzez parametr 'code'. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.
Wersje Adobe ColdFusion 2025.9, 2023.20 i wcześniejsze zawierają lukę Path Traversal, która umożliwia wykonanie dowolnego kodu w kontekście bieżącego użytkownika bez konieczności interakcji użytkownika. Luka ta została sklasyfikowana jako krytyczna z oceną ...
Wtyczka LiteSpeed User-End cPanel w wersjach przed 2.4.5 umożliwia eskalację uprawnień, potencjalnie do poziomu root, co zostało wykorzystane w atakach w maju 2026 roku. Wykrywanie incydentów polega na przeszukaniu logów za pomocą określonego polecenia grep...
W wersji 1.0.0 i nowszych projektu ChromaDB Python wykryto krytyczną lukę pozwalającą na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może przesłać złośliwy model oraz ustawić parametr trust_remote_code na true w endpointzie API, co umożliwia uruch...
Wtyczka LearnPress dla WordPress do wersji 4.2.7 jest podatna na atak SQL Injection poprzez parametr 'c_fields' w REST API, co umożliwia nieautoryzowanym atakującym wyciągnięcie wrażliwych danych z bazy.
Wtyczka Pie Register dla WordPress w wersjach do 3.7.1.4 zawiera lukę umożliwiającą nieautoryzowanym atakującym podszywanie się pod dowolnego użytkownika poprzez specjalnie spreparowane żądanie POST. Atakujący może uzyskać sesję dowolnego użytkownika, w tym...
Wtyczka Balbooa Forms dla Joomla posiada krytyczną lukę pozwalającą na nieautoryzowany upload plików wykonywalnych, co może prowadzić do pełnego zdalnego wykonania kodu (RCE). Luka ta jest aktywnie wykorzystywana i stanowi poważne zagrożenie dla bezpieczeńs...
Komponent camel-coap w Apache Camel pozwala na wstrzyknięcie nagłówków wiadomości CoAP, co może prowadzić do zdalnego wykonania kodu. Luka umożliwia nieautoryzowanemu atakującemu wysłanie pojedynczego pakietu UDP i przejęcie kontroli nad procesem Camel.
Wtyczka WP Directory Kit dla WordPressa do wersji 1.4.4 włącznie zawiera krytyczną lukę pozwalającą na obejście uwierzytelniania przez słaby mechanizm generowania tokenów w funkcji automatycznego logowania. Atakujący bez uwierzytelnienia mogą uzyskać dostęp...
W wersjach 9Router od 0.4.30 do 0.4.37 middleware w pliku src/proxy.js nie chronił endpointów /api/cli-tools/* i /api/mcp/*, co pozwalało na nieautoryzowaną rejestrację customPlugins oraz wykonanie poleceń przez most MCP. Luka została załatana w wersji 0.4.37.
Wtyczka Woo Inquiry dla WordPress do wersji 0.1 włącznie jest podatna na atak SQL Injection z powodu niewystarczającego oczyszczania parametru 'dbid' oraz braku odpowiedniego przygotowania zapytań SQL. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie...
Wtyczka WP Hotel Booking dla WordPress do wersji 2.1.0 włącznie zawiera krytyczną lukę SQL Injection w parametrze 'room_type' endpointu REST API /wphb/v1/rooms/search-rooms. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i...
W wersjach Eclipse BaSyx Java Server SDK przed 2.0.0-milestone-10 występuje luka w normalizacji ścieżek w Submodel HTTP API, pozwalająca nieautoryzowanemu atakującemu na atak typu path traversal. Poprzez złośliwie spreparowany parametr fileName podczas prze...
W jądrze Linux w wersjach od 5.4 występuje krytyczna luka w module BPF, gdzie błędne oznaczanie ścieżek kodu jako bezpiecznych pozwala na nieautoryzowany odczyt i zapis w pamięci jądra. Może to prowadzić do eskalacji uprawnień oraz ucieczki z kontenera.
W FortiSIEM firmy Fortinet wykryto krytyczną lukę typu OS Command Injection, która pozwala atakującemu na wykonanie nieautoryzowanych poleceń poprzez specjalnie spreparowane żądania API. Luka ta może prowadzić do pełnego przejęcia kontroli nad systemem.
Storage Concentrator (SC i SCVM) ma krytyczną lukę w usłudze ms_service.pl, która nasłuchuje na porcie TCP 9000. Zdalny, nieautoryzowany atakujący może wysłać specjalnie spreparowany pakiet, co prowadzi do wykonania dowolnych poleceń z uprawnieniami root.
Storage Concentrator (SC i SCVM) ma krytyczną lukę w skrypcie debug.pl, dostępną bez uwierzytelnienia. Zdalny atakujący może wysłać specjalnie spreparowane żądanie HTTP, które pozwala na wykonanie dowolnych poleceń z uprawnieniami root.
Wtyczka Joomla Page Builder CK posiada poważną lukę umożliwiającą nieautoryzowany upload dowolnych plików, w tym wykonywalnych, co prowadzi do pełnego zdalnego wykonania kodu (RCE). Luka ta ma najwyższy poziom krytyczności (CVSS 10.0).
Wtyczka Kognetiks Chatbot dla WordPress do wersji 2.0.0 zawiera krytyczną lukę umożliwiającą nieograniczone przesyłanie plików o niebezpiecznych typach. Luka ta może prowadzić do wykonania złośliwego kodu na serwerze.
W systemie Ubiquiti UniFi OS wykryto krytyczną lukę w kontroli dostępu, która umożliwia nieautoryzowane zmiany w systemie przez osoby mające dostęp do sieci. Luka ta może być wykorzystana przez złośliwych aktorów do przejęcia kontroli nad urządzeniem.
W urządzeniach Quest KACE SMA wersji 13.0.x do 14.1.x wykryto poważną lukę umożliwiającą pominięcie uwierzytelniania przez mechanizm SSO. Atakujący mogą podszyć się pod uprawnionych użytkowników bez ważnych poświadczeń, co może prowadzić do pełnego przejęci...
W urządzeniach UniFi OS firmy Ubiquiti wykryto krytyczną lukę Path Traversal, która pozwala atakującemu z dostępem do sieci na dostęp do plików systemowych. Luka ta może umożliwić uzyskanie dostępu do kont systemowych.
Moduł automatycznego zatwierdzania poleceń w CodeRider-Kilo zawiera lukę typu OS Command Injection, która omija mechanizm białej listy. Błąd wynika z nieprawidłowego parsowania poleceń Windows CMD przy użyciu niekompatybilnej biblioteki Unixowej, co umożliw...
Paperclip to serwer Node.js z interfejsem React, który zarządza zespołem agentów AI. W wersjach przed 2026.416.0 nieautoryzowany atakujący może zdalnie wykonać dowolny kod na instancji Paperclip działającej w trybie uwierzytelnionym z domyślną konfiguracją,...
Pakiet Laravel goodoneuz/pay-uz w wersjach do 2.2.24 zawiera krytyczną lukę umożliwiającą zdalne wykonanie kodu poprzez endpoint /payment/api/editable/update, który nie wymaga uwierzytelnienia. Atakujący mogą nadpisać pliki PHP odpowiedzialne za obsługę pła...
Wtyczka Social Warfare dla WordPress w wersjach do 3.5.2 włącznie posiada krytyczną lukę umożliwiającą zdalne wykonanie kodu poprzez parametr 'swp_url'. Atakujący mogą wykorzystać tę podatność do uruchomienia dowolnego kodu na serwerze.
W module SP Page Builder dla Joomla wykryto krytyczną lukę pozwalającą nieautoryzowanym użytkownikom na przesyłanie dowolnych plików, w tym złośliwego kodu PHP. Luka ta może prowadzić do wykonania nieautoryzowanego kodu na serwerze.
W rozszerzeniu iCagenda dla Joomla wykryto krytyczną lukę umożliwiającą przesyłanie dowolnych plików w funkcji załączników, co może prowadzić do wykonania złośliwego kodu PHP na serwerze.
Wtyczka WordPress Advanced Custom Fields (ACF) w wersji 3.5.1 i starszych zawiera lukę zdalnego dołączania plików (RFI) w pliku core/actions/export.php. Przy włączonej opcji allow_url_include w PHP, atakujący może zdalnie wykonać dowolny kod PHP bez uwierzy...
W interfejsie Work Place urządzeń SonicWall SMA1000 wykryto krytyczną lukę typu Server-Side Request Forgery (SSRF). Zdalny, nieautoryzowany atakujący może wymusić na urządzeniu wykonanie żądań do niezamierzonych lokalizacji.
Wtyczka WordPress Job Board and Recruitment Plugin – JobWP (do wersji 2.0) zawiera krytyczną lukę pozwalającą na nieograniczone przesyłanie plików o niebezpiecznych typach. Luka ta może zostać wykorzystana do przesłania złośliwych plików na serwer.
Wtyczka WordPress Asset-Manager w wersji 2.0 i starszych zawiera lukę umożliwiającą nieautoryzowany upload dowolnych plików przez upload.php. Atakujący mogą przesłać złośliwe skrypty PHP do przewidywalnego katalogu tymczasowego i wykonać je zdalnie, co prow...
Wtyczka TNC Toolbox: Web Performance dla WordPress w wersjach do 1.4.2 przechowuje dane uwierzytelniające cPanel w plikach dostępnych publicznie, co pozwala nieautoryzowanym osobom na ich pozyskanie. Atakujący mogą wykorzystać te dane do zdalnego wykonania ...
Kilka wtyczek WordPress dostępnych na WordPress.org zostało zainfekowanych złośliwym kodem PHP, który wykrada dane uwierzytelniające do bazy danych i tworzy nowe konta administratorów. Atakujący wykorzystują te wtyczki do przejęcia kontroli nad stronami int...
W MariaDB w wersjach od 10.6.1 do 10.6.26, 10.11.1 do 10.11.17, 11.4.1 do 11.4.11, 11.8.1 do 11.8.7 oraz 12.3.1 z włączoną opcją wsrep_notify_cmd istnieje luka pozwalająca na wykonanie poleceń powłoki poprzez nazwę węzła dołączającego się do klastra. Luka z...
Wtyczki InPost dla WooCommerce (do wersji 1.4.0) oraz InPost PL dla WordPress (do wersji 1.4.4) mają poważną lukę bezpieczeństwa, która pozwala nieautoryzowanym atakującym na odczyt i usuwanie plików. Na serwerach Windows możliwe jest usunięcie dowolnych pl...
Wtyczka JobSearch WP Job Board dla WordPressa do wersji 2.6.7 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer poprzez brak walidacji typów plików. Może to prowadzić do zdalnego wykonania kodu na serwerze.
Wtyczka Integrate Google Drive dla WordPress do wersji 1.3.8 zawiera krytyczną lukę pozwalającą uwierzytelnionym atakującym na modyfikację ustawień oraz pełny odczyt, zapis i usuwanie plików na powiązanym koncie Google Drive. Luka wynika z braku odpowiednie...
W usłudze Microsoft Azure Kubernetes Service wykryto poważną lukę w autoryzacji, która pozwala nieautoryzowanemu atakującemu na podniesienie swoich uprawnień przez sieć. Luka ta została oceniona na 10.0 w skali CVSS, co oznacza najwyższy poziom zagrożenia.
Kestra, platforma orkiestracji zdarzeń open-source, ma poważną lukę w uwierzytelnianiu w wersjach przed 1.0.45 i 1.3.21. Błąd pozwala na ominięcie uwierzytelnienia i zdalne wykonanie kodu jako root w kontenerze pracownika Kestra.
Wtyczka wpDataTables – WordPress Data Table, Dynamic Tables & Table Charts w wersjach do 6.3.1 włącznie posiada krytyczną lukę SQL Injection w parametrze 'id_key' akcji AJAX wdt_delete_table_row. Luka pozwala nieautoryzowanym atakującym na wstrzyknięcie dod...
W systemie rezerwacji Chauffeur Taxi Booking dla WordPress wykryto krytyczną lukę (CVE-2024-31115), która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Luka dotyczy wersji do 7.2 włącznie i może prowadzić do poważnych naruszeń bezpi...
Wtyczka Bertha AI dla WordPress i Chrome posiada krytyczną lukę umożliwiającą nieograniczone przesyłanie plików o niebezpiecznych typach. Luka dotyczy wersji do 1.11.10.7 i może prowadzić do poważnych naruszeń bezpieczeństwa.
W wersjach gotenberg 8.30.1 i wcześniejszych luka pozwala na wstrzyknięcie złośliwych poleceń do ExifTool poprzez nieprawidłowo oczyszczone wartości metadanych. Atakujący bez uwierzytelnienia może zmieniać nazwy, przenosić pliki PDF oraz nadpisywać lub twor...
W NocoBase przed wersją 2.0.61 luka w module powiadomień pozwalała uwierzytelnionym użytkownikom na wykonanie złośliwych zapytań SQL, w tym poleceń systemowych poprzez COPY ... TO PROGRAM. Problem dotyczył nieprawidłowego przetwarzania parametrów w zapytani...
W crawl4ai przed wersją 0.9.0 istniała luka pozwalająca na wstrzyknięcie argumentów do uruchomienia Chromium przez niezabezpieczony serwer Docker API. Atakujący mógł wykonać dowolne polecenie jako użytkownik kontenera, wykorzystując brak uwierzytelnienia AP...
Wtyczka AR for WordPress firmy webandprint posiada krytyczną lukę umożliwiającą nieograniczone przesyłanie plików niebezpiecznych, w tym web shelli, co może prowadzić do przejęcia serwera. Luka dotyczy wersji do 6.6 włącznie.
W wersjach mcp-pinot 3.0.1 i starszych serwer MCP działał bez uwierzytelniania na porcie 8080, co pozwalało każdemu w sieci na wykonywanie zapytań SQL i modyfikację konfiguracji klastra Apache Pinot. Luka ta została załatana w wersji 3.1.0.
Wtyczka Boat Rental dla WordPress zawiera krytyczną lukę pozwalającą na nieograniczone przesyłanie plików niebezpiecznych typów, co umożliwia załadowanie web shell na serwer. Luka dotyczy wersji do 1.0.1 włącznie.
W jądrze Linux naprawiono lukę w funkcji p9_client_walk(), gdzie niewłaściwe zarządzanie referencjami do obiektu oldfid mogło prowadzić do błędów typu use-after-free lub refcount underflow. Problem występował podczas nieklonujących wywołań p9_client_walk() ...
Kestra, platforma do orkiestracji zdarzeń, miała krytyczną lukę w uwierzytelnianiu REST API, pozwalającą anonimowym użytkownikom na tworzenie i uruchamianie zadań powłoki z uprawnieniami root w kontenerze. Luka dotyczyła wersji przed 1.0.45 i 1.3.21 i umożl...
W Jupyter Enterprise Gateway w wersjach od 2.0.0rc2 do 3.3.0 wykryto krytyczną podatność Server Side Template Injection (SSTI) w zmiennych środowiskowych KERNEL_XXX podczas generowania manifestów Kubernetes. Luka pozwala na wykonanie złośliwego kodu Python ...