Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.07.23)
W podatności CVE-2023-36844 w J-Web systemu Junos OS firmy Juniper Networks występuje możliwość modyfikacji zmiennych środowiskowych PHP przez nieautoryzowanego atakującego. Atakujący może wykorzystać spreparowane żądanie do zmiany ważnych zmiennych, co prowadzi do częściowej utraty integralności.
W wersji 23.01 lrzip-next odkryto naruszenie dostępu w komponencie /bz3_decode_block src/libbz3.c.
W wersji lrzip v0.651 odkryto przepełnienie sterty w funkcji libzpaq::PostProcessor::write(int) w pliku /libzpaq/libzpaq.cpp. Ta podatność umożliwia atakującym spowodowanie odmowy usługi (DoS) za pomocą spreparowanego pliku.
Wersja 3.5.0 i wcześniejsze Jeecg-boot zawierają podatność na atak typu SQL injection, która pozwala lokalnemu atakującemu na wywołanie odmowy usługi za pomocą funkcji takich jak Benchmark, PG_Sleep, DBMS_Lock.Sleep, Waitfor, DECODE oraz DBMS_PIPE.RECEIVE_MESSAGE.
Zidentyfikowano przepełnienie bufora w sterowniku BoardUpdateAcpiDxe w niektórych produktach Lenovo ThinkPad, co może umożliwić atakującemu z lokalnym dostępem i podwyższonymi uprawnieniami wykonanie dowolnego kodu.
Zidentyfikowano przepełnienie bufora w sterowniku SystemUserMasterHddPwdDxe w niektórych produktach Lenovo Notebook, co może umożliwić atakującemu z lokalnym dostępem i podwyższonymi uprawnieniami wykonanie dowolnego kodu.
Zidentyfikowano przepełnienie bufora w sterowniku SetupUtility w niektórych produktach notebooków Lenovo, co może umożliwić atakującemu z lokalnym dostępem i podwyższonymi uprawnieniami wykonanie dowolnego kodu.
Podatność w urządzeniach Red Lion Europe mbNET/mbNET.rokey oraz Helmholz REX 200 i REX 250 z firmware poniżej 7.3.2 umożliwia uwierzytelnionemu zdalnemu atakującemu z wysokimi uprawnieniami wstrzyknięcie złośliwego kodu HTML lub JavaScript (XSS).
W systemie plików btrfs w jądrze Linux znaleziono lukę typu use-after-free, która występuje w funkcji btrfs_get_dev_args_from_path. Luka ta pozwala lokalnemu atakującemu z odpowiednimi uprawnieniami na spowodowanie awarii systemu lub wyciek wewnętrznych informacji jądra.
EC-CUBE w wersjach od 2.11.0 do 2.17.2-p1 zawiera podatność typu cross-site scripting w sekcjach 'mail/template' oraz 'products/product' na stronie zarządzania. Wykorzystanie tej podatności może prowadzić do wykonania dowolnego skryptu w przeglądarce innego administratora lub użytkownika odwiedzającego stronę.
W podatności CVE-2023-40252 występuje niewłaściwa kontrola generowania kodu ('wstrzyknięcie kodu') w produktach Genians Genian NAC oraz Genians ZTNA, co pozwala na zastąpienie zaufanego pliku wykonywalnego. Dotyczy to wersji od V4.0.0 do V4.0.155 dla Genian NAC V4.0, od V5.0.0 do V5.0.42 dla Genian NAC V5.0, od V5.0.0 do V5.0.54 dla Genian NAC Suite V5.0 oraz od V6.0.0 do V6.0.15 dla Genians ZTNA.
W Genians Genian NAC oraz Genian ZTNA występuje luka związana z brakiem szyfrowania wrażliwych danych, co umożliwia atak typu Man in the Middle. Dotyczy to wersji V4.0, V5.0 oraz V6.0.
Wtyczka Comments Like Dislike dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji restore_settings wywoływanej przez akcję AJAX w wersjach do 1.2.0 włącznie. Umożliwia to uwierzytelnionym atakującym z minimalnymi uprawnieniami, takim jak subskrybent, resetowanie ustawień wtyczki.
W repozytorium GitHub cockpit-hq/cockpit przed wersją 2.6.4 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 oraz 11.2.1 jest podatny na atak typu server-side request forgery (SSRF). Umożliwia to uwierzytelnionemu atakującemu wysyłanie nieautoryzowanych żądań z systemu, co może prowadzić do enumeracji sieci lub ułatwienia innych ataków.
IBM Cognos Analytics w wersjach 11.1.7, 11.2.0 i 11.2.1 może pozwolić zdalnemu atakującemu na uzyskanie informacji o systemie bez uwierzytelnienia, co może być wykorzystane do zbierania danych do przyszłych ataków.
Oppia to platforma edukacyjna online, która używa operatora równości do porównywania tokenów CSRF, co naraża ją na ataki czasowe. Atakujący może odgadnąć token CSRF, co pozwala na wykonywanie działań w imieniu zalogowanego użytkownika.
IBM WebSphere Application Server Liberty w wersjach od 22.0.0.13 do 23.0.0.7 jest podatny na atak typu denial of service, spowodowany wysłaniem specjalnie przygotowanego żądania. Zdalny atakujący może wykorzystać tę podatność do nadmiernego zużycia zasobów pamięci serwera.
W systemie plików journaling (JFS) w jądrze Linux znaleziono błąd dereferencji wskaźnika NULL w funkcji dbFree. Problem ten może umożliwić lokalnemu atakującemu spowodowanie awarii systemu z powodu braku odpowiedniej kontroli poprawności.
Oprogramowanie układowe NPort IAW5000A-I/O w wersji v2.2 i wcześniejszych zawiera podatność na twardo zakodowane poświadczenia, co stwarza potencjalne ryzyko dla bezpieczeństwa i integralności urządzenia. Obecność twardo zakodowanego klucza może umożliwić manipulację oprogramowaniem układowym.