Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Luka typu directory traversal w RequestUtil.java w Apache Tomcat 6.x przed 6.0.45, 7.x przed 7.0.65 i 8.x przed 8.0.27 pozwala zdalnym uwierzytelnionym użytkownikom na obejście ograniczeń SecurityManager i wyświetlenie katalogu nadrzędnego poprzez /.. w ścieżce używanej przez aplikację webową w wywołaniach getResource, getResourceAsStream lub getResourcePaths. Demonstrowano to na katalogu $CATALINA_BASE/webapps.
Podatność w Universal Worklist Configuration w SAP NetWeaver AS JAVA 7.4 pozwala zdalnym atakującym uzyskać poufne informacje o użytkownikach poprzez spreparowane żądanie HTTP. Podatność znana jest jako SAP Security Note 2256846.
Nieokreślona podatność w komponentach Java SE, Java SE Embedded i JRockit w Oracle Java SE 8u66; Java SE Embedded 8u65; oraz JRockit R28.3.8 pozwala zdalnym atakującym wpłynąć na poufność i integralność poprzez nieznane wektory związane z Libraries.
Nieokreślona podatność w komponentach Java SE, Java SE Embedded i JRockit w Oracle Java SE 6u105, 7u91 i 8u66; Java SE Embedded 8u65; oraz JRockit R28.3.8 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP.
Nieokreślona podatność w komponentach Java SE i Java SE Embedded w Oracle Java SE 6u105, 7u91 i 8u66 oraz Java SE Embedded 8u65 pozwala uwierzytelnionym zdalnym użytkownikom wpłynąć na poufność poprzez wektory związane z JMX.
Nieokreślona podatność w komponentach Java SE i Java SE Embedded w Oracle Java SE 6u105, 7u91 i 8u66 oraz Java SE Embedded 8u65 pozwala zdalnym atakującym wpłynąć na integralność poprzez nieznane wektory związane z Networking.
Funkcja resend_bytes w pliku roaming_common.c w kliencie OpenSSH w wersjach 5.x, 6.x i 7.x przed 7.1p2 umożliwia zdalnym serwerom uzyskanie wrażliwych informacji z pamięci procesu poprzez żądanie przesłania całego bufora, co może prowadzić do odczytu prywatnego klucza.
Wiele produktów Microsoft Office (m.in. Office 2007, 2010, 2013, 2016, Excel, PowerPoint, Visio, Word oraz Visual Basic 6.0 Runtime) pozwala zdalnym atakującym obejść mechanizm ochrony ASLR za pomocą nieokreślonych wektorów.
Microsoft SharePoint Server 2013 SP1 i SharePoint Foundation 2013 SP1 pozwalają uwierzytelnionym zdalnym użytkownikom obejść zamierzone ograniczenia Access Control Policy i przeprowadzić ataki cross-site scripting (XSS) poprzez modyfikację webpartu.
Microsoft SharePoint Server 2013 SP1 oraz SharePoint Foundation 2013 SP1 pozwalają uwierzytelnionym zdalnym użytkownikom obejść zamierzone ograniczenia Access Control Policy i przeprowadzić ataki cross-site scripting (XSS) poprzez modyfikację webpartu. Podatność znana jest jako "Microsoft SharePoint Security Feature Bypass" i różni się od CVE-2016-0011.
Mozilla Network Security Services (NSS) przed wersją 3.20.2, używane w Mozilla Firefox przed 43.0.2 i Firefox ESR 38.x przed 38.5.2, nie odrzuca podpisów MD5 w wiadomościach Server Key Exchange w protokole TLS 1.2, co ułatwia atakującym typu man-in-the-middle podszywanie się pod serwery poprzez wywołanie kolizji.
Przepełnienie bufora oparte na stercie w ARM mbed TLS (wcześniej PolarSSL) w wersjach 1.3.x przed 1.3.14 oraz 2.x przed 2.1.2 pozwala zdalnym serwerom SSL na spowodowanie odmowy usługi (awaria klienta) oraz potencjalne wykonanie dowolnego kodu poprzez długą nazwę biletu sesji w rozszerzeniu biletu sesji, które nie jest prawidłowo obsługiwane podczas tworzenia wiadomości ClientHello w celu wznowienia sesji.
Wykryto przepełnienie bufora w stercie w PolarSSL 1.x przed wersją 1.2.17 oraz ARM mbed TLS (wcześniej PolarSSL) 1.3.x przed wersją 1.3.14 i 2.x przed wersją 2.1.2. Atakujący może wykorzystać długi hostname w rozszerzeniu SNI, co prowadzi do awarii klienta i potencjalnego wykonania dowolnego kodu.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4803 i CVE-2015-4893.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z RMI.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 pozwala zdalnym atakującym wpłynąć na integralność poprzez nieznane wektory związane z Deployment.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4803 i CVE-2015-4911.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z CORBA.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na integralność danych poprzez nieznane wektory związane z bezpieczeństwem.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność poprzez wektory związane z JAXP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS