Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w silniku detekcji oprogramowania Cisco Firepower System Software może umożliwić nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanych polityk akcji plików, jeśli skonfigurowany jest również Intelligent Application Bypass (IAB) z progiem procentowym odrzucania. Problem wynika z nieprawidłowego liczenia procentu odrzuconego ruchu. Atakujący może wysłać ruch sieciowy do urządzenia, co pozwala ominąć polityki i wpuścić ruch, który powinien być odrzucony.
Podatność w silniku detekcji oprogramowania Cisco Firepower System Software może umożliwić nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej polityki akcji plików w celu odrzucenia protokołu SMB, jeśli wykryty zostanie plik złośliwego oprogramowania. Problem wynika ze sposobu, w jaki protokół SMB obsługuje przypadek nieudanego dużego transferu plików. Atakujący może wysłać spreparowane żądanie transferu plików SMB przez urządzenie, co pozwala na przepuszczenie pliku SMB zawierającego złośliwe oprogramowanie.
Podatność w silniku detekcji Cisco Firepower System Software umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie skonfigurowanej polityki plików, która ma blokować protokoły SMB2 i SMB3 w przypadku wykrycia złośliwego oprogramowania. Problem wynika z nieprawidłowego wykrywania plików SMB2/SMB3 na podstawie całkowitej długości pliku. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie transferu SMB2 lub SMB3 przez urządzenie docelowe.
W osTicket przed wersją 1.10.2 odkryto podatność na atak XSS w skrypcie /scp/index.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub HTML poprzez parametr "sort".
Podatność typu integer format w generatorze numerów biletów w Enhancesoft osTicket przed wersją 1.10.2 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uniemożliwienie tworzenia nowych biletów) poprzez użycie dużej liczby cyfr w ustawieniu formatu numeru biletu.
Podatność na skryptowanie między witrynami (XSS) w pliku /scp/directory.php w systemie osTicket przed wersją 1.10.2. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr "order".
Podatność na skryptowanie między witrynami (XSS) w pliku /ajax.php/form/help-topic w systemie osTicket przed wersją 1.10.2. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr "message".
Podatność cross-site scripting (XSS) w funkcji ZmMailMsgView.getAttachmentLinkHtml w Zimbra Collaboration Suite (ZCS) przed 8.7 Patch 1 i 8.8.x przed 8.8.7. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez nagłówek Content-Location w załączniku e-mail.
Podatność w silniku detekcji Cisco Firepower System Software umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie polityk plików skonfigurowanych do blokowania plików przesyłanych przez protokół BitTorrent. Problem wynika z nieprawidłowego wykrywania komunikatów uzgadniania BitTorrent. Atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie połączenia BitTorrent do urządzenia.
Wersja 2.0.3 i wcześniejsze Cisco Umbrella Virtual Appliance zawierały nieudokumentowany zaszyfrowany tunel wsparcia zdalnego (SSH), który automatycznie inicjował połączenie z serwerami Cisco. Tunel ten umożliwiał zdalny dostęp do urządzenia przez autoryzowany personel Cisco bez wyraźnej zgody klienta.
Funkcja admin_edit w pliku app/Controller/UsersController.php w MISP 2.4.82 niewłaściwie obsługuje pole enable_password, co pozwala administratorom na odkrycie hasła w postaci haszowanej poprzez przeglądanie logów audytowych.
Zidentyfikowano podatność w kontrolerach automatyki Siemens APOGEE PXC i TALON TC BACnet we wszystkich wersjach poniżej V3.5. Podatność na przejście katalogu może umożliwić zdalnemu atakującemu z dostępem do sieci uzyskanie informacji o strukturze systemu plików urządzeń.
W bibliotece ncurses 6.0 w funkcji _nc_safe_strcat w pliku strings.c występuje nielegalny dostęp do pamięci, co może prowadzić do zdalnego ataku typu Denial of Service.
W bibliotece ncurses 6.0 wykryto nielegalny dostęp do pamięci w funkcji fmt_entry w pliku progs/dump_entry.c. Może to prowadzić do zdalnego ataku typu odmowa usługi (DoS).
W bibliotece ncurses 6.0 wykryto nielegalny dostęp do pamięci w funkcji dump_uses() w pliku progs/dump_entry.c. Może to prowadzić do zdalnego ataku typu odmowa usługi (DoS).
W bibliotece ncurses 6.0 wykryto nielegalny dostęp do pamięci w funkcji postprocess_termcap() w pliku parse_entry.c. Prowadzi to do zdalnego ataku typu odmowa usługi (DoS).
W bibliotece ncurses 6.0 wykryto nielegalny dostęp do pamięci w funkcji _nc_read_entry_source() w pliku progs/tic.c. Może to prowadzić do zdalnego ataku typu odmowa usługi (DoS).
W bibliotece ncurses 6.0 wykryto nielegalny dostęp do pamięci w funkcji _nc_save_str w pliku alloc_entry.c. Prowadzi to do zdalnego ataku typu odmowa usługi (DoS).
W MISP przed wersją 2.4.79 występuje podatność na trwałe XSS poprzez pole komentarza. Problem dotyczy tylko użytkowników tej samej instancji, ponieważ pole komentarza nie jest częścią synchronizacji MISP.
W urządzeniach Schneider Electric Modicon PLCs Modicon M221, M241 i M251, w wersjach oprogramowania przed odpowiednio 1.5.0.0 oraz 4.0.5.11, odkryto problem z przewidywalnym zakresem wartości. Affected products generują niewystarczająco losowe numery początkowe sekwencji TCP, co może umożliwić atakującemu przewidywanie tych numerów na podstawie wcześniejszych wartości.