Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniu D-Link DIR-600 w wersji sprzętowej B5 i oprogramowaniu w wersji 2.18 odkryto podatność na wstrzykiwanie poleceń poprzez parametr ST w funkcji lxmldbc_system().
GeoServer 2 w niektórych konfiguracjach pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą java.lang.Runtime.getRuntime().exec w wps:LiteralData w ramach żądania wps:Execute.
System zarządzania usługami Sourcecodester w wersji 1.0 jest podatny na atak typu SQL Injection poprzez parametr ID w ścieżce /php-spms/?page=services/view&id=2.
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.7, 2021.1.5, 2022.0.5, 2022.1.6 oraz 2023.0.2 zidentyfikowano podatności na wstrzykiwanie SQL. Atakujący bez uwierzytelnienia może uzyskać nieautoryzowany dostęp do bazy danych MOVEit Transfer.
Atos Unify OpenScape 4000 Assistant V10 R1 przed wersją V10 R1.42.0 oraz V10 R1.34.8 oraz Manager V10 R1 przed wersją V10 R1.42.0 oraz V10 R1.34.8 umożliwiają zdalne wykonanie kodu przez nieautoryzowanych użytkowników.
W Progress DataDirect Connect dla ODBC przed wersją 08.02.2770 dla Oracle odkryto przepełnienie bufora. Zbyt duża wartość dla niektórych opcji ciągu połączenia może spowodować nadpisanie bufora przeznaczonego do przetwarzania wartości ciągu.
W repozytorium GitHub froxlor/froxlor przed wersją 2.0.20 występuje niewłaściwe ograniczenie nadmiernych prób uwierzytelnienia.
W urządzeniu Tenda AC10 v4 US_AC10V4.0si_V16.03.10.13_cn odkryto podatność na przepełnienie stosu poprzez parametr time w /goform/saveParentControlInfo.
W systemie BES--6024PB-I50H1 VideoPlayTool v2.0.1.0 występuje nieprawidłowa kontrola dostępu w funkcjonalnościach administracyjnych, co pozwala atakującym na wykonywanie dowolnych poleceń administracyjnych za pomocą odpowiednio przygotowanego ładunku wysłanego do wybranych punktów końcowych.
Wtyczka Abandoned Cart Lite dla WooCommerce w WordPressie jest podatna na obejście uwierzytelnienia w wersjach do 5.14.2 włącznie. Problem wynika z niewystarczającego szyfrowania użytkownika dostarczanego podczas dekodowania linku do porzuconego koszyka przez wtyczkę.
W urządzeniu TOTOLink A7100RU w wersji V7.4cu.2313_B20191024 odkryto podatność na wstrzykiwanie poleceń poprzez parametr staticGw w ścieżce /setting/setWanIeCfg.
W wersji 1.7.0 xxl-rpc odkryto podatność na deserializację w komponencie com.xxl.rpc.core.remoting.net.impl.netty.codec.NettyDecode#decode.
W RenderDoc przed wersją 1.27 występuje przepełnienie całkowite (Integer Overflow) w funkcji StreamReader::ReadFromExternal, co prowadzi do przepełnienia bufora. Problem wynika z użycia uint32_t(m_BufferSize-m_InputSize), gdzie m_InputSize może przekroczyć m_BufferSize.
W RenderDoc przed wersją 1.27 występuje podatność na przepełnienie bufora spowodowane przepełnieniem całkowitym. Wartość 0xffffffff jest rozszerzana do 0xffffffffffffffff (SIZE_MAX), a następnie podejmowana jest próba dodania 1.
Marval MSM w wersjach do 14.19.0.12476 oraz 15.0 posiada konto systemowe z domyślnymi poświadczeniami. Zdalny atakujący może zalogować się i utworzyć ważną sesję, co umożliwia wykonywanie wywołań backendowych do punktów końcowych aplikacji.
W systemie Planet Technologies WDRT-1800AX v1.01-CP21 występuje problem, który pozwala atakującym na ominięcie uwierzytelnienia oraz eskalację uprawnień do poziomu roota poprzez manipulację ciasteczkiem LoginStatus.
Podatność wstrzyknięcia poleceń w VMware Aria Operations for Networks. Złośliwy aktor z dostępem sieciowym może przeprowadzić atak wstrzyknięcia poleceń prowadzący do zdalnego wykonania kodu.
Wtyczka Pinterest Automatic dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzeń uprawnień w funkcji 'wp_pinterest_automatic_parse_request' oraz w skrypcie 'process_form.php' w wersjach do 1.14.3 włącznie. Umożliwia to nieautoryzowanym atakującym aktualizację dowolnych opcji na stronie, co może prowadzić do tworzenia nowych kont administratorów lub przekierowywania nieświadomych odwiedzających.
Wtyczka Adning Advertising dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji _ning_upload_image w wersjach do 1.5.5 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej strony.
W systemie Imperial CMS w wersji 7.5 odkryto podatność na dowolne usuwanie plików za pomocą funkcji DelspReFile w pliku /sp/ListSp.php. Atakujący mogą wykorzystać tę podatność, wysyłając odpowiednio skonstruowane żądanie POST.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS