Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w konfiguracji listy dostępu do zarządzania w oprogramowaniu Cisco Firepower Threat Defense (FTD) umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej listy dostępu interfejsu zarządzania. Problem wynika z konfiguracji różnych list dostępu, gdzie porty są dozwolone w jednej, a zabronione w innej. Atakujący może wysłać spreparowany ruch zarządzania do lokalnego adresu IP systemu, co pozwala ominąć polityki list dostępu.
Podatność w produkcie PeopleSoft Enterprise CS Campus Community (komponent: Self-Service) wersji 9.2. Umożliwia atakującemu z niskimi uprawnieniami i dostępem sieciowym przez HTTP nieautoryzowany odczyt podzbioru danych, z możliwym wpływem na dodatkowe produkty.
W Arm Mbed TLS przed wersją 2.16.6 oraz 2.7.x przed wersją 2.7.15 odkryto problem, który pozwala atakującemu na odzyskanie długoterminowego klucza prywatnego ECDSA. Atak opiera się na pomiarach bocznych, które umożliwiają rekonstrukcję współrzędnych projektowych oraz wykorzystanie ataków do uzyskania klucza prywatnego.
W MISP przed wersją 2.4.124, plik app/Model/feed.php pozwala administratorom na wybór dowolnych plików do zaimportowania. Choć nie powoduje to ujawnienia pełnej zawartości pliku, może prowadzić do wycieku ciągów pasujących do określonych wzorców, takich jak hasła z pliku database.php czy hasła kluczy GPG z config.php.
MISP w wersji 2.4.122 zawiera podatność typu Persistent XSS w narzędziu popover do obserwacji. Problem ten dotyczy pliku app/View/Elements/Events/View/sighting_field.ctp.
MISP w wersji 2.4.122 zawiera podatność na refleksyjne XSS poprzez niesanitizowane parametry URL. Problem ten dotyczy pliku app/View/Users/statistics_orgs.ctp.
Podatność w interfejsie CLI oprogramowania Cisco FXOS pozwala uwierzytelnionemu lokalnemu atakującemu na odczyt lub zapis dowolnych plików w systemie operacyjnym. Problem wynika z niewystarczającej walidacji danych wejściowych. Atakujący może wykorzystać tę podatność, podając spreparowane argumenty do określonego polecenia CLI, co pozwala na odczyt lub zapis dowolnych plików.
Podatność w komponencie instalatora Cisco AnyConnect Secure Mobility Client dla Windows umożliwia uwierzytelnionemu lokalnemu atakującemu kopiowanie plików dostarczonych przez użytkownika do katalogów systemowych z uprawnieniami systemowymi. Wynika to z nieprawidłowej obsługi ścieżek katalogów.
W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem listami kontroli dostępu (ACL) dla wątków dyskusyjnych w plikach app/Controller/ThreadsController.php oraz app/Model/Thread.php.
W MISP przed wersją 2.4.121 odkryto problem, który polegał na braku kanonizacji nazw użytkowników podczas próby zablokowania serii nieprawidłowych żądań w ataku typu brute-force.
W MISP przed wersją 2.4.121 wystąpił problem z niewłaściwym zarządzaniem różnicą czasową między serwerem WWW a bazą danych, co mogło prowadzić do nieefektywnej ochrony przed atakami typu brute-force.
W bibliotece RubyGem excon przed wersją 0.71.0 występuje warunek wyścigu dotyczący trwałych połączeń. Przerwane połączenie (np. z powodu timeoutu) pozostawia dane w gnieździe, które są odczytywane przez kolejne żądania, zwracając treść poprzedniej odpowiedzi. Okno warunku wyścigu jest wąskie, co utrudnia celowe wykorzystanie podatności.
W MISP 2.4.118 w pliku app/Controller/TagsController.php użytkownicy mogą obejść zamierzone ograniczenia dotyczące tagowania danych.
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
Podatność w komponencie filtrowania ruchu HTTP w oprogramowaniu Cisco Firepower Threat Defense, FirePOWER Services dla ASA i Firepower Management Center umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń filtrujących. Wynika to z nieprawidłowej obsługi żądań HTTP, w tym przez połączenia HTTPS, zawierających złośliwie spreparowane nagłówki. Atakujący może wysyłać złośliwe żądania, aby ominąć filtrowanie i dostarczyć złośliwe treści do chronionych systemów.
Podatność w funkcji normalizacji Cisco Firepower Threat Defense Software, Cisco FirePOWER Services Software dla ASA i Cisco Firepower Management Center Software umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń filtrujących. Problem wynika z niewystarczającej normalizacji ładunku tekstowego. Atakujący może wykorzystać tę podatność, wysyłając ruch zawierający specjalnie zaciemnione ładunki przez urządzenie.
Podatność w komponencie wykrywania protokołów w oprogramowaniu Cisco Firepower Threat Defense, FirePOWER Services dla ASA i Firepower Management Center umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń filtrujących. Wynika to z nieprawidłowego wykrywania początkowego użycia protokołu na niestandardowym porcie. Atakujący może wysyłać ruch na niestandardowym porcie, aby ominąć filtrowanie i dostarczyć złośliwe żądania do chronionych systemów.
Podatność w komponencie ponownego składania strumieni ruchu w oprogramowaniu Cisco Firepower Threat Defense, FirePOWER Services dla ASA oraz Firepower Management Center umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie filtrów ochronnych. Problem wynika z nieprawidłowego ponownego składania strumieni ruchu. Atakujący może wykorzystać tę podatność, wysyłając spreparowane strumienie przez urządzenie, co pozwala na dostarczenie złośliwych żądań do chronionych systemów.
Na urządzeniach Hyundai Pay Kasse HK-1000 odkryto kanał boczny związany z wyświetlaczem OLED opartym na wierszach. Zużycie energii przez każdy cykl wyświetlacza zależy od liczby podświetlonych pikseli, co umożliwia częściowe odzyskanie zawartości wyświetlacza.
W bibliotece terminfo ncurses przed wersją 6.1-20191012 występuje odczyt poza dozwolonym obszarem pamięci sterty w funkcji fmt_entry w pliku tinfo/comp_hash.c.