Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wersje Apache Log4j2 od 2.0-alpha1 do 2.16.0 (z wyjątkiem 2.12.3 i 2.3.1) nie chroniły przed niekontrolowaną rekurencją w przypadku samoodwołujących się wyszukiwań. Umożliwia to atakującemu, który ma kontrolę nad danymi w Thread Context Map, spowodowanie odmowy usługi podczas interpretacji spreparowanego ciągu.
Niekompletne porównanie łańcuchów znaków w komponencie numpy.core w NumPy przed wersją 1.22.0 pozwala atakującym wywołać nieznacznie nieprawidłowe kopiowanie poprzez skonstruowanie określonych obiektów łańcuchowych. Producent twierdzi, że zgłoszone zachowanie kodu jest "całkowicie nieszkodliwe".
W funkcji unix_scm_to_skb w af_unix.c występuje błąd use-after-free spowodowany warunkiem wyścigu. Może to prowadzić do lokalnej eskalacji uprawnień z uprawnieniami wykonawczymi System.
Visual Studio Code zawiera podatność typu spoofing, która może pozwolić na podszywanie się pod inne elementy interfejsu lub dane.
W systemie Verint Workforce Optimization (WFO) w wersji 15.2.8.10048 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez parametr NEWUINAV w ścieżce control/my_notifications. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W systemie Genesys Workforce Management 8.5.214.20 wykryto podatność na atak XSS podczas usuwania rekordów, wykorzystującą parametr Time-off. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
W LimeSurvey 3.6.2+180406 odkryto podatność na atak XSS w skrypcie theme.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub HTML poprzez parametr changes_cp w żądaniu do URI index.php/admin/themes/sa/templatesavechanges.
W GitLab CE/EE odkryto problem dotyczący wszystkich wersji od 10.5 przed 14.3.6, od 14.4 przed 14.4.4 oraz od 14.5 przed 14.5.2. Nieautoryzowani zewnętrzni użytkownicy mogą wykonywać żądania po stronie serwera poprzez API CI Lint.
Netty przed wersją 4.1.71.Final pomija znaki kontrolne na początku lub końcu nazwy nagłówka, zamiast zgłosić błąd. Może to prowadzić do przemytu żądań HTTP (HTTP request smuggling), ponieważ Netty może "oczyścić" nazwy nagłówków przed przekazaniem ich do systemu zdalnego, który nie widzi już nieprawidłowego użycia.
Podatność w Bundlerze (wersje przed 2.2.33) polega na możliwości wykonania dowolnego kodu podczas przetwarzania niezaufanego pliku Gemfile. Jeśli Gemfile zawiera zależność z opcją git, której URL zaczyna się od myślnika (np. '-u./payload'), Bundler może zinterpretować go jako opcję git clone, co prowadzi do wykonania kodu.
W module przekierowań Racktables w wersji 0.21.2 występuje podatność na atak XSS. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr op.
W aplikacji Mahavitaran na Androida w wersji 7.50 i niższych odkryto podatność, która umożliwia lokalnym atakującym odczytanie nazwy użytkownika i hasła w postaci jawnego tekstu podczas zalogowania użytkownika.
W systemie Chamilo LMS w wersji 1.11.14 wykryto podatność na atak typu Cross Site Scripting (XSS) w pliku /plugin/jcapture/applet.php. Atakujący może wykorzystać tę lukę, przekazując w ciasteczku (cookie) zakodowany w hex ciąg znaków.
Podatność zdalnego wykonania kodu w przeglądarce Microsoft Edge (opartej na Chromium).
Podatność podniesienia uprawnień w Windows 10 Update Assistant. Atakujący może uzyskać wyższe uprawnienia.
Podatność w Asystencie aktualizacji systemu Windows 10 umożliwia podniesienie uprawnień. Atakujący może wykorzystać ją do uzyskania wyższych uprawnień w systemie.
Niewystarczająca walidacja niezaufanych danych wejściowych w Intents w Google Chrome na Androidzie przed wersją 95.0.4638.69 pozwalała zdalnemu atakującemu na dowolne przekierowanie przeglądarki do złośliwego adresu URL za pomocą spreparowanej strony HTML.
Wtyczki WordPress Video Lessons Manager przed wersją 1.7.2 oraz Video Lessons Manager Pro przed wersją 3.5.9 nieprawidłowo sanityzują i nie kodują wartości podczas aktualizacji ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami na przeprowadzenie ataków typu Cross-Site Scripting.
W firmware BIOS niektórych procesorów Intel występuje nieprawidłowa walidacja danych wejściowych. Uprzywilejowany użytkownik może potencjalnie wykorzystać tę lukę do lokalnego podniesienia uprawnień.
W firmware BIOS niektórych procesorów Intel występuje niewystarczające zarządzanie przepływem sterowania. Uprzywilejowany użytkownik może potencjalnie wykorzystać tę lukę do lokalnego podniesienia uprawnień.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS