Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_ipv6. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup konfiguracji sieci statycznej występuje przepełnienie bufora na stosie w parametrze static_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup pppoe występuje przepełnienie bufora na stosie w parametrze pppoe_dns2. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formIpv6Setup pppoe występuje przepełnienie bufora na stosie w parametrze pppoe_dns1. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formMapDelDevice występuje przepełnienie bufora na stosie w parametrze macstr. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu TOTOLINK X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) w funkcji boa formParentControl występuje przepełnienie bufora na stosie w parametrze url. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Podatność można wywołać uwierzytelnionym żądaniem HTTP.
W urządzeniu Totolink X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formWsc (parametr targetAPSsid) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formParentControl (parametr deviceName) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu Totolink X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formWsc (parametr peerRptPin) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formMapDelDevice (parametr macstr) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formMapDelDevice (parametr hostname) serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W bibliotece @fastify/middie (wersje od 9.0.0 do 9.3.5) funkcja use() łączyła ścieżkę montowania middleware ze prefiksem zakresu wtyczki w sposób mogący różnić się od ścieżki obsługiwanej przez router Fastify — najczęściej gdy prefiks zakresu kończył się ukośnikiem, a także dla tablic ścieżek montowania i ścieżek bez wiodącego ukośnika. Gdy ścieżki się różniły, middleware był po cichu pomijany, a handler trasy nadal działał, co pozwalało obejść middleware ograniczający dostęp (uwierzytelnianie, autoryzacja, limity) pojedynczym nieuwierzytelnionym żądaniem. Problem naprawiono w wersji 9.3.6.
Nieprawidłowe przypisanie uprawnień w polityce IAM narzędzia AWS CICD-toolchain-for-serverless-applications w wersjach 1.0.7–1.0.10 pozwala uwierzytelnionym użytkownikom z dostępem push do repozytorium źródłowego aplikacji eskalować uprawnienia i uzyskać dostęp lub modyfikować zasoby poza stosem aplikacji w tym samym koncie AWS.
Biblioteka markdown-it w wersjach 14.1.0–14.3.2 oraz 15.0.0–15.0.2 ma złożoność O(n²) przy przetwarzaniu definicji referencji linku z niezamkniętą etykietą lub tytułem przy domyślnych opcjach, co prowadzi do nadmiernego zużycia zasobów.
Ścieżka przetwarzania typu 0x4030 w sterowniku PEAK-System PCAN nie weryfikuje wskaźnika wybranego lub zwróconego obiektu przed dereferencją stałych pól podczas przetwarzania końcowego.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność polegająca na braku weryfikacji podpisu firmware w funkcji aktualizacji oprogramowania serwera boa. Specjalnie spreparowany plik firmware może doprowadzić do aktualizacji dowolnym oprogramowaniem. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji Mcli. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje podatność na wstrzyknięcie poleceń systemu operacyjnego w funkcji formUpload() serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
W urządzeniu X2000R (wersja TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327) występuje przepełnienie bufora na stosie w funkcji formUpload() serwera boa. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu. Atakujący może wywołać podatność uwierzytelnionym żądaniem HTTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS