Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcja findMacroMarker w parserLib.pas w Rejetto HTTP File Server (HFS) w wersjach 2.3x przed 2.3c umożliwia zdalnym atakującym wykonywanie dowolnych programów poprzez użycie sekwencji %00 w akcji wyszukiwania.
Skrypt vyatta-clear-dhcp-lease.pl w Brocade Vyatta 5400 vRouter 6.4R(x), 6.6R(x) i 6.7R1 nieprawidłowo waliduje parametry, co pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień poprzez wykorzystanie konfiguracji sudo.
Konsola zarządzania w routerze Brocade Vyatta 5400 w wersjach 6.4R(x), 6.6R(x) i 6.7R1 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń Linuxa za pomocą metaznaków powłoki w poleceniu konsoli.
M/Monit w wersji 3.3.2 i wcześniejszych nie weryfikuje oryginalnego hasła przed jego zmianą, co pozwala zdalnym atakującym na zmianę haseł innych użytkowników oraz uzyskanie uprawnień za pomocą parametrów fullname i password.
Plik backup.php w PHPCompta/NOALYSS przed wersją 6.7.2 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze d.
Funkcja posix_spawn_file_actions_addopen w glibc przed wersją 2.20 nie kopiuje argumentu ścieżki zgodnie ze specyfikacją POSIX, co pozwala atakującym zależnym od kontekstu na wywołanie podatności use-after-free.
W podatności CVE-2014-2044 występuje niekompletna lista zablokowanych elementów w pliku ajax/upload.php w ownCloud przed wersją 5.0, działającym na systemie Windows. Umożliwia to zdalnym, uwierzytelnionym użytkownikom obejście zamierzonych ograniczeń dostępu, przesyłanie plików o dowolnych nazwach oraz wykonywanie dowolnego kodu za pomocą składni Alternate Data Stream (ADS) w parametrze nazwy pliku.
Wielokrotne nieokreślone podatności w libXtsol w systemach Oracle Solaris 10 i 11.1 związane z błędami bufora.
Moduł XMonad.Hooks.DynamicLog w xmonad-contrib przed wersją 0.11.2 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez tytuł strony internetowej, co aktywuje polecenia po kliknięciu na tytuł okna xmobar.
Wtyczka Content Audit przed wersją 1.6.1 dla WordPressa zawiera podatność na wstrzyknięcie SQL w pliku content-audit-schedule.php. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez opcję 'Typy treści audytowanych' na stronie audytu treści.
Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.
Wielokrotne podatności typu cross-site request forgery (CSRF) w routerze TP-LINK WR1043N z firmware TL-WR1043ND_V1_120405 umożliwiają zdalnym atakującym przejęcie autoryzacji administratorów dla różnych żądań, takich jak włączenie dostępu FTP czy zmiana hasła administracyjnego FTP.
Funkcja IOHIDSecurePromptClient w systemie Apple OS X nieprawidłowo waliduje wartości wskaźników, co umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii systemu poprzez spreparowaną stronę internetową.
Cisco IOS XR na urządzeniach ASR 9000 nieprawidłowo wykorzystuje kompresję dla kodowania zakresu portów i adresów, co pozwala zdalnym atakującym na obejście zamierzonych ograniczeń ACL na kartach linii Typhoon poprzez ruch tranzytowy.
Funkcja DNP3 w kontrolerach Rockwell Automation Allen-Bradley MicroLogix 1400 1766-Lxxxxx A FRN w wersji 7 i wcześniejszych oraz 1400 1766-Lxxxxx B FRN przed wersją 15.001 pozwala zdalnym atakującym na wywołanie odmowy usługi poprzez wysyłanie źle sformatowanych pakietów przez sieć Ethernet lub linię szeregową.
Podatność typu directory traversal w SchneiderWEB na modułach Ethernet PLC Modicon firmy Schneider Electric umożliwia zdalnym atakującym dostęp do dowolnych zasobów poprzez spreparowane żądanie HTTP.
W podatności CVE-2014-6298 w rozszerzeniu mm_forum przed wersją 1.9.3 dla TYPO3 występuje luka umożliwiająca nieograniczone przesyłanie plików. Atakujący zdalnie mogą przesłać plik z rozszerzeniem wykonywalnym i uzyskać dostęp do niego, co pozwala na wykonanie dowolnego kodu.
W podatności CVE-2014-6295 występuje luka w zabezpieczeniach typu SQL injection w rozszerzeniu WEC Map (wec_map) przed wersją 3.0.3 dla TYPO3, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
Podatność typu SQL injection w rozszerzeniu Statistics (ke_stats) przed wersją 1.1.2 dla TYPO3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Rozszerzenie News (tt_news) w wersjach przed 3.5.2 dla TYPO3 umożliwia zdalnym atakującym wywołanie nieokreślonego wpływu poprzez problemy związane z 'niebezpiecznym deserializowaniem'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS