Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.11)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W OpenStack Keystone stwierdzono podatność, która pozwala zdalnemu atakującemu wysłać duże żądanie HTTP z długą nazwą dzierżawcy (tenant name) podczas żądania tokena, co prowadzi do nadmiernego zużycia CPU i pamięci, powodując odmowę usługi (DoS).
Nieokreślona podatność w komponencie Java Runtime Environment (JRE) w Oracle Java SE 7 do Update 11 oraz OpenJDK 7 pozwala zdalnemu atakującemu, przy udziale użytkownika, ominąć piaskownicę bezpieczeństwa Java poprzez nieokreślone wektory związane z JMX.
Mechanizm uwierzytelniania hasłem serwera WWW używany przez produkty jest podatny na ataki typu MitM oraz Replay. Skuteczne wykorzystanie tej podatności umożliwia nieautoryzowany dostęp do serwera WWW produktu, co pozwala na przeglądanie i modyfikowanie informacji o konfiguracji i diagnostyce produktu.
Podatność przepełnienia bufora w nieokreślonej kontrolce ActiveX w pliku aipgctl.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue. Zdalny atakujący może spowodować odmowę usługi poprzez spreparowany dokument HTML.
Nieokreślona kontrolka ActiveX w pliku SVUIGrd.ocx w oprogramowaniu ARC Informatique PcVue w wersjach od 6.0 do 10.0, FrontVue i PlantVue umożliwia zdalnym atakującym modyfikację plików poprzez wywołanie nieznanych metod.
Podatność typu directory traversal w osTicket 1.6 umożliwia zdalnemu atakującemu odczyt dowolnych plików poprzez użycie sekwencji „..” w parametrze file w module.php. Jest to inny wektor ataku niż CVE-2005-1439, jednak wiarygodna strona trzecia zakwestionowała istnienie tej luki.
Aplikacja JMX-Console w JBossAs w Red Hat JBoss Enterprise Application Platform (JBoss EAP) 4.2 przed 4.2.0.CP09 i 4.3 przed 4.3.0.CP08 przeprowadza kontrolę dostępu tylko dla metod GET i POST, co pozwala zdalnym atakującym na wysyłanie żądań do aplikacji przy użyciu innych metod HTTP.
Nieokreślona podatność w BlazeDS 3.2 i wcześniejszych, używanych w LiveCycle, LiveCycle Data Services, Flex Data Services i ColdFusion, pozwala zdalnym atakującym na uzyskanie wrażliwych informacji poprzez wstrzyknięte znaczniki i zewnętrzne encje w dokumentach XML.
Funkcja updatePosition w pliku lib/xmltok_impl.c biblioteki Expat 2.0.1 zawiera podatność na odczyt poza zakresem bufora. Specjalnie spreparowane sekwencje UTF-8 w dokumencie XML mogą spowodować awarię aplikacji.
Wielokrotne podatności CSRF w komponencie administracji HTTP w systemie Cisco IOS 12.4 na routerze 871 Integrated Services Router umożliwiają zdalnemu atakującemu wykonanie dowolnych poleceń. Atak polega na wykorzystaniu żądań do URI /level/15/exec/- z poleceniem "show privilege" oraz do /level/15/exec/-/configure/http z poleceniem "alias exec".
W osTicket znaleziono wiele podatności na ataki XSS, umożliwiające zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML przez parametry t, osticket_title, em, e, err oraz pola name i subject.
Check Point Firewall-1 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez wysyłanie dużej liczby źle sformatowanych, fragmentowanych pakietów IP.
Klient ICQwebmail dla ICQ 2000A tworzy tymczasowy plik, który jest dostępny dla wszystkich użytkowników podczas logowania i nie jest usuwany, co pozwala lokalnym użytkownikom na uzyskanie poufnych informacji.
Przepełnienie bufora w interfejsie webowym Cmail 2.4.7 umożliwia zdalnym atakującym spowodowanie awarii usługi poprzez wysłanie dużej nazwy użytkownika do dialogu użytkownika działającego na porcie 8002.
Serwer WWW Savant umożliwia zdalnym atakującym odczytanie kodu źródłowego skryptów CGI poprzez żądanie GET, które nie zawiera numeru wersji HTTP.
Windows NT i Windows 2000 umożliwiają zdalnemu atakującemu spowodowanie odmowy usługi poprzez nieprawidłowe żądania DCE/RPC SMBwriteX, które zawierają nieprawidłową długość danych.
Microsoft Outlook i Outlook Express umożliwiają zdalnym atakującym spowodowanie odmowy usługi poprzez wysyłanie wiadomości e-mail z pustymi polami, takimi jak BCC, Reply-To, Return-Path lub From.
PassWD 1.2 wykorzystuje słabe szyfrowanie (trywialne kodowanie) do przechowywania haseł, co umożliwia atakującemu, który ma dostęp do pliku z hasłami, łatwe odszyfrowanie tych haseł.
W systemach HP-UX 10.20 i 11 lokalni atakujący mogą wykorzystać atak symlink do nadpisania plików.
Serwer Imate Webmail 2.5 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez wysłanie długiego polecenia HELO.