Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka User Submitted Posts dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji usp_check_images w wersjach do 20190312 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.
Wtyczka Delete All Comments dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku delete-all-comments.php w wersjach do 2.0 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.
W serwerze Percona Monitoring and Management (PMM) w wersjach 2.x przed 2.37.1 funkcja uwierzytelniania w pliku auth_server.go nieprawidłowo formalizuje i sanitizuje ścieżki URL, co umożliwia ataki typu path traversal. To pozwala nieautoryzowanemu użytkownikowi zdalnemu na dostęp do chronionych tras API, co prowadzi do eskalacji uprawnień i ujawnienia informacji.
W routerze Netgear R6250 z oprogramowaniem w wersji 1.0.4.48 wykryto podatność na wstrzykiwanie poleceń. Osoba atakująca posiadająca uprawnienia administracyjne do panelu zarządzania może wstrzyknąć polecenia do parametrów żądania POST, uzyskując dostęp do powłoki systemowej.
W routerze TOTOLINK X5000R w wersji oprogramowania V9.1.0cu.2350_B20230313 wykryto podatność na wstrzykiwanie poleceń w funkcji setWanCfg. Atakujący może zdalnie wykonać dowolne polecenia systemowe bez autoryzacji.
MarsCTF w wersji 1.2.1 posiada podatność na nieautoryzowane przesyłanie plików w interfejsie do przesyłania załączników w tle.
W aplikacji mobilnej Mobatime AMXGT100 występuje podatność na niewłaściwą autoryzację, która umożliwia obejście procesu uwierzytelniania. Problem dotyczy wersji aplikacji do 1.3.20.
IdentityIQ w wersjach 8.3 i wcześniejszych (do 8.3p2), 8.2 i wcześniejszych (do 8.2p5), 8.1 i wcześniejszych (do 8.1p6), oraz 8.0 i wcześniejszych (do 8.0p5) pozwala uwierzytelnionemu użytkownikowi na wywołanie konstruktora Java bez argumentów lub z jednym argumentem typu Map w dowolnej klasie Java dostępnej w ścieżce klas aplikacji IdentityIQ.
W repozytorium GitHub nilsteampassnet/teampass przed wersją 3.0.9 występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.
W eMedia Consulting simpleRedak do wersji 2.47.23.05 odkryto podatność na wstrzyknięcie SQL poprzez parametr Activity.
W urządzeniu Tenda AC8V4.0-V16.03.34.06 odkryto podatność na przepełnienie stosu, która występuje w funkcji get_parentControl_list_Info z powodu parametru time.
W urządzeniu Tenda AC8V4.0-V16.03.34.06 odkryto podatność na przepełnienie stosu poprzez parametr firewallEn w funkcji formSetFirewallCfg.
W urządzeniu Tenda AC8V4.0-V16.03.34.06 odkryto przepełnienie stosu związane z parametrem deviceId w funkcji saveParentControlInfo.
W urządzeniu Tenda AC8V4.0-V16.03.34.06 odkryto podatność na przepełnienie stosu, która występuje w funkcji sub_4a79ec poprzez parametr time.
W urządzeniu Tenda AC8V4.0-V16.03.34.06 odkryto przepełnienie stosu związane z parametrem timeZone w funkcji sub_44db3c.
W repozytorium GitHub tsolucio/corebos przed wersją 8 występuje niezweryfikowana zmiana hasła, co może prowadzić do nieautoryzowanego dostępu.
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.6 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może uzyskać informacje o strukturze i zawartości bazy danych oraz wykonywać polecenia SQL, które mogą zmieniać lub usuwać elementy bazy danych.
ReadyMedia (MiniDLNA) w wersjach od 1.1.15 do 1.3.2 jest podatny na przepełnienie bufora. Podatność ta wynika z nieprawidłowej logiki walidacji podczas obsługi żądań HTTP z użyciem kodowania transportowego chunked.
W podatności CVE-2023-3000 w technologii ErMon firmy Erikoglu występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na wykonanie poleceń z linii komend poprzez SQL Injection oraz obejście uwierzytelniania.
W DataEase, narzędziu do wizualizacji i analizy danych, przed wersją 1.18.7 występuje podatność na deserializację, która może być wykorzystana do wykonania dowolnego kodu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS