Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wersja 0.0.171 biblioteki langchain zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik JSON używany w load_prompt. Problem ten jest związany z __subclasses__ lub szablonem.
W Perl 5.34.0 funkcja S_find_uninit_var w pliku sv.c powoduje awarię stosu, która może prowadzić do zdalnego wykonania kodu lub lokalnego podniesienia uprawnień.
W busybox przed wersją 1.35 w pliku ash.c:6030 występuje podatność na przepełnienie stosu. W środowisku Internetu Pojazdów (IoV) może zostać wykorzystana do wykonania dowolnego kodu z poziomu polecenia.
W bibliotece json-c od wersji 20200420 (kod po 0.14, nieopublikowany) do 0.15-20200726 wykryto problem przepełnienia bufora stosu w pomocniczym programie przykładowym json_parse, w funkcji parseit. Może to prowadzić do uszkodzenia pamięci podczas przetwarzania danych wejściowych.
Niewystarczająca walidacja uprawnień przy używaniu narzędzi zdalnych i makr w Devolutions Remote Desktop Manager w wersjach 2023.2.19 i wcześniejszych pozwala użytkownikowi na nawiązanie połączenia bez odpowiednich praw wykonawczych za pomocą funkcji narzędzi zdalnych.
Wersja 0.8.0 i wcześniejsze biblioteki pandasai autorstwa Gaberiele Venturi zawierają lukę, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez odpowiednio skonstruowane żądanie do funkcji prompt.
Podatność typu Buffer Overflow w projekcie JerryScript w wersji 3.0.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponent scanner_is_context_needed w pliku js-scanner-until.c.
W MICS Admin Portal w wersjach 9.18.0 i niższych Ivanti MobileIron Sentry występuje podatność, która może umożliwić atakującemu ominięcie kontroli uwierzytelniania na interfejsie administracyjnym z powodu niewystarczająco restrykcyjnej konfiguracji Apache HTTPD.
W usłudze kdmserver w telewizorze LeEco LeTV X43 w wersji V2401RCN02C080080B04121S wykryto podatność, która umożliwia atakującym wykonanie dowolnego kodu, eskalację uprawnień oraz spowodowanie odmowy usługi (DoS).
W podatności CVE-2023-39939 występuje luka typu SQL injection w LuxCal Web Calendar przed wersją 5.2.3M (wersja MySQL) oraz przed wersją 5.2.3L (wersja SQLite). Umożliwia to zdalnemu, nieautoryzowanemu atakującemu wykonywanie dowolnych zapytań do bazy danych, co pozwala na uzyskanie lub modyfikację informacji w niej zawartych.
W urządzeniach TP-Link TL-WR941ND V6 odkryto podatność na przepełnienie bufora poprzez parametr pSize w /userRpm/PingIframeRpm.
W wersji 1.13 urządzenia D-Link DAP-2660 odkryto podatność na przepełnienie bufora poprzez parametr f_ipv6_enable w /bsc_ipv6. Atakujący może wykorzystać tę podatność, wysyłając odpowiednio skonstruowane żądanie POST.
Wersja 1.13 urządzenia D-Link DAP-2660 zawiera podatność na przepełnienie bufora w komponencie /adv_resource. Można ją wykorzystać poprzez odpowiednio skonstruowane żądanie GET.
W modelach TP-Link WR841N V8, TL-WR940N V2 oraz TL-WR941ND V5 odkryto podatność na przepełnienie bufora poprzez parametr radiusSecret w ścieżce /userRpm/WlanSecurityRpm.
W urządzeniu TOTOLINK X5000R B20210419 odkryto podatność na zdalne wykonanie kodu (RCE) poprzez interfejs setTracerouteCfg.
W urządzeniach TOTOLINK X5000R_V9.1.0cu.2089_B20211224 oraz X5000R_V9.1.0cu.2350_B20230313 odkryto podatność na zdalne wykonanie kodu (RCE) poprzez parametr lang w funkcji setLanguageCfg.
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka występuje w parametrze system_hostname w skrypcie /manage/network-basic.php, gdzie możliwe jest użycie znaków specjalnych powłoki.
W oprogramowaniu iBSG v3.5 firmy N.V.K.INTER CO., LTD. (NVK) odkryto zakodowany na stałe hasło roota. Umożliwia ono atakującym zalogowanie się z uprawnieniami roota przez usługę SSH.
W systemie iBSG w wersji 3.5 firmy N.V.K.INTER CO., LTD. (NVK) wykryto podatność na wstrzykiwanie SQL w parametrze a_passwd w skrypcie /portal/user-register.php. Luka ta może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
W routerach bezprzewodowych ELECOM występuje podatność na wstrzykiwanie poleceń systemowych, która pozwala atakującemu na wykonanie dowolnego polecenia OS poprzez wysłanie specjalnie przygotowanego żądania. Dotyczy to wszystkich wersji modeli WRC-F1167ACF, WRC-1750GHBK, WRC-1167GHBK2, WRC-1750GHBK2-I oraz WRC-1750GHBK-E.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS