Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.09)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Implementacja Web IDL w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed wersją 24.4, Thunderbird przed wersją 24.4 oraz SeaMonkey przed wersją 2.25 umożliwia zdalnym atakującym wykonanie dowolnego kodu JavaScript z uprawnieniami chrome poprzez użycie fragmentu IDL do wywołania funkcji window.open.
Przepełnienie bufora w funkcji _cairo_truetype_index_to_ucs4 w bibliotece cairo, używanej w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed 24.4, Thunderbird przed 24.4 oraz SeaMonkey przed 2.25, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną wtyczkę renderującą czcionki w dokumencie PDF.
Funkcja gfxContext::Polygon w libxul.so w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed 24.4, Thunderbird przed 24.4 oraz SeaMonkey przed 2.25 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu, spowodowanie odmowy usługi (odczyt poza zakresem i awaria aplikacji) lub potencjalne obejście polityki Same Origin poprzez wektory związane z renderowaniem wielokątów MathML.
W podatności CVE-2014-1507 w API DeviceStorage w Mozilla FirefoxOS przed wersją 1.2.2, atakujący mogą obejść mechanizm ochrony sandboxa mediów, co pozwala na odczyt lub modyfikację dowolnych plików za pomocą odpowiednio skonstruowanej aplikacji.
Implementacja filtrów SVG w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed 24.4, Thunderbird przed 24.4 oraz SeaMonkey przed 2.25 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o korelacji przemieszczeń oraz potencjalne obejście polityki Same Origin, co pozwala na odczyt tekstu z innej domeny poprzez atak czasowy związany z elementami feDisplacementMap.
Funkcja mozilla::WaveReader::DecodeAudioData w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed 24.4, Thunderbird przed 24.4 oraz SeaMonkey przed 2.25 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci sterty procesu, spowodowanie odmowy usługi (odczyt poza zakresem i awaria aplikacji) lub potencjalnie inne nieokreślone skutki za pomocą spreparowanego pliku WAV.
Wielokrotne nieokreślone podatności w silniku przeglądarki w Mozilla Firefox przed wersją 28.0 oraz SeaMonkey przed wersją 2.25 mogą umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu.
Wiele nieokreślonych podatności w silniku przeglądarki w Mozilla Firefox przed wersją 28.0, Firefox ESR 24.x przed wersją 24.4, Thunderbird przed wersją 24.4 oraz SeaMonkey przed wersją 2.25 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne wykonanie dowolnego kodu.
Podatność cross-site scripting (XSS) na stronie logowania WebVPN w oprogramowaniu Cisco Adaptive Security Appliance (ASA) pozwala zdalnym atakującym wstrzyknąć dowolny skrypt lub HTML poprzez nieokreślony parametr. Podatność znana jest jako Bug ID CSCun19025.
W systemie Sophos UTM przed wersją 9.109 występuje wyciek pamięci w stosie TCP w jądrze, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nieokreślone wektory.
W funkcji CDownloads_Deleted::UpdateDownload w pliku Downloads_Deleted.cpp w Free Download Manager występuje przepełnienie bufora oparte na stosie. Umożliwia to zdalnym atakującym, przy pomocy użytkownika, wykonanie dowolnego kodu poprzez podanie długiej nazwy pliku, która następnie jest usuwana z kolejki pobierania.
Podatność SQL injection w funkcji mci_file_get w pliku api/soap/mc_file_api.php w MantisBT przed wersją 1.2.16 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez spreparowany tag envelope w żądaniu SOAP mc_issue_attachment_get.
Metoda x_button w ServiceController w Red Hat CloudForms 3.0 Management Engine 5.2 umożliwia zdalnym atakującym wykonywanie dowolnych metod poprzez nieokreślone wektory.
Przepełnienie całkowite w xnview.exe w XnView 2.13 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez dużą wartość pola NUM_ELEMENTS w strukturze IFD_ENTRY w pliku JXR, co prowadzi do przepełnienia bufora w stercie.
Sophos Web Appliance w wersjach przed 3.7.8.2 umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrze client-ip na stronie blokady oraz zdalnym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrach url i entries.
Podatność w /sbin/ifwatchd w systemie BlackBerry QNX Neutrino RTOS 6.4.x i 6.5.x umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez podanie dowolnej nazwy programu jako argumentu wiersza poleceń.
Urządzenia Siemens SIMATIC S7-1500 CPU PLC z firmware przed wersją 1.5.0 są podatne na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie przygotowane pakiety HTTPS.
Urządzenia Siemens SIMATIC S7-1500 CPU PLC z firmware przed wersją 1.5.0 są podatne na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie przygotowane pakiety ISO-TSAP.
Urządzenia Siemens SIMATIC S7-1500 CPU PLC z firmware przed wersją 1.5.0 są podatne na ataki zdalne, które mogą prowadzić do odmowy usługi poprzez specjalnie przygotowane pakiety HTTP.
Generator liczb losowych w urządzeniach Siemens SIMATIC S7-1500 CPU PLC z firmware przed wersją 1.5.0 nie ma wystarczającej entropii, co ułatwia zdalnym atakującym pokonanie mechanizmów ochrony kryptograficznej oraz przejęcie sesji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS