Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Adobe ColdFusion w wersjach 9.0, 9.0.1 i 9.0.2, gdy hasło nie jest skonfigurowane, umożliwia zdalnym atakującym ominięcie uwierzytelniania i potencjalne wykonanie dowolnego kodu poprzez nieokreślone wektory. Wykorzystanie tej podatności miało miejsce w styczniu 2013 roku.
Kodek H.263 w FFmpeg oraz Libav ma nieokreślony wpływ i wektory ataku związane ze zmianą szerokości/wysokości przy użyciu wątków klatek. Dotyczy to wersji FFmpeg przed 0.7.12, 0.8.11 oraz nieokreślonych wersji przed 0.10, a także wersji Libav przed 0.5.9, 0.6.6, 0.7.5 i 0.8.1.
W komponencie Grinder produktu Red Hat CloudForms wykryto błąd polegający na nieprawidłowych uprawnieniach do zapisu dla wszystkich w katalogu `/var/lib/pulp/cache/grinder/`. Umożliwia to lokalnemu użytkownikowi modyfikację plików pamięci podręcznej Grindera, co może prowadzić do nieautoryzowanego manipulowania danymi w pamięci podręcznej aplikacji.
Podatność w Pulp używanym w Red Hat CloudForms pozwalająca lokalnemu użytkownikowi odczytać hasło administracyjne z powodu uprawnień world-readable na pliku konfiguracyjnym pulp.conf. Ujawnienie informacji może umożliwić nieautoryzowany dostęp do wrażliwych poświadczeń systemowych.
Funkcja _compile w pliku Maketext.pm w implementacji Locale::Maketext w Perl przed wersją 5.17.7 nieprawidłowo obsługuje znaki backslash oraz w pełni kwalifikowane nazwy metod podczas kompilacji notacji w nawiasach. To umożliwia atakującym, zależnie od kontekstu, wykonanie dowolnych poleceń poprzez spreparowane dane wejściowe do aplikacji akceptujących ciągi tłumaczeń od użytkowników.
Wielokrotne przepełnienia bufora na stosie w funkcji expand w pliku os/pl-glob.c w SWI-Prolog przed wersją 6.2.5 oraz 6.3.x przed wersją 6.3.7 mogą umożliwić zdalnym atakującym spowodowanie awarii aplikacji lub potencjalne wykonanie dowolnego kodu poprzez spreparowaną nazwę pliku.
W funkcji canoniseFileName w pliku os/pl-os.c w SWI-Prolog przed wersją 6.2.5 oraz 6.3.x przed wersją 6.3.7 występują wielokrotne przepełnienia bufora na stosie. Umożliwia to zdalnym atakującym spowodowanie awarii aplikacji lub potencjalne wykonanie dowolnego kodu poprzez spreparowaną nazwę pliku.
Podatność SQL injection w komponencie Active Record w Ruby on Rails przed wersją 3.0.18, 3.1.x przed 3.1.9 oraz 3.2.x przed 3.2.10 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez spreparowane żądanie, które wykorzystuje nieprawidłowe zachowanie dynamicznych finderów w aplikacjach mogących używać nieoczekiwanych typów danych w niektórych wywołaniach metod find_by_.
Apache CXF w wersjach 2.4.x przed 2.4.8, 2.5.x przed 2.5.4 oraz 2.6.x przed 2.6.1 nie zapewnia odpowiedniego podpisywania lub szyfrowania elementów XML, gdy Supporting Token określa podrzędną politykę WS-SecurityPolicy 1.1 lub 1.2. Może to prowadzić do nieokreślonych skutków i wektorów ataku.
Wersje przeglądarki Opera przed 12.12 nieprawidłowo przydzielają pamięć dla obrazów GIF, co umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi (przepełnienie pamięci) poprzez złośliwy obraz.
W wersjach Opery przed 12.11 występuje przepełnienie bufora na stercie, które może być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu lub spowodowania awarii usługi (uszkodzenie pamięci) poprzez długą odpowiedź HTTP.
Wersje przeglądarki Opera przed 12.10 umożliwiają zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie awarii aplikacji poprzez złośliwy obraz SVG.
LemonLDAP::NG w wersjach przed 1.2.3 nie wykorzystuje możliwości weryfikacji podpisu biblioteki Lasso, co pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu poprzez spreparowane dane SAML.
W pliku server/action.py w Fail2ban przed wersją 0.8.8 nieprawidłowo obsługiwana jest zawartość tagu matches, co może umożliwić zdalnym atakującym wywołanie niebezpiecznego zachowania w niestandardowym pliku akcji za pomocą nieokreślonych symboli w tej zawartości.
Aplikacja Central w i-GEN opLYNX przed wersją 2.01.9 umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez wyłączenie obsługi JavaScript w przeglądarce.
Podatność typu use-after-free w przeglądarce Microsoft Internet Explorer 6 do 8 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez specjalnie przygotowaną stronę internetową, która wywołuje dostęp do obiektu, który nie został prawidłowo przydzielony lub został usunięty. Przykładem jest obiekt CDwnBindInfo, który był wykorzystywany w atakach w grudniu 2012 roku.
OpenStack Compute (Nova) w wersjach Folsom przed 2012.2.2 oraz Grizzly, przy użyciu libvirt i instancji opartych na LVM, nie czyści prawidłowo zawartości woluminu fizycznego (PV) podczas realokacji dla instancji. Pozwala to atakującym uzyskać poufne informacje poprzez odczyt pamięci poprzedniego woluminu logicznego (LV).
Interfejs usługi XML w Citrix XenApp 6.5 oraz 6.5 Feature Pack 1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Nieokreślona podatność w CA IdentityMinder r12.0 do CR16, r12.5 przed SP15 oraz r12.6 GA umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń dostępu za pomocą nieznanych wektorów.
Nieokreślona podatność w CA IdentityMinder r12.0 do CR16, r12.5 przed SP15 oraz r12.6 GA umożliwia zdalnym atakującym wykonywanie dowolnych poleceń lub modyfikację danych za pomocą nieznanych wektorów.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS