Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W podatności CVE-2023-0979 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w systemie MedData MedDataPACS. Problem dotyczy wersji przed 3 marca 2023 roku.
Podatność CVE-2023-0839 dotyczy niewłaściwej ochrony dla wychodzących komunikatów o błędach i sygnałów alarmowych w oprogramowaniu inSCADA firmy ProMIS Process Co. Umożliwia to przeprowadzenie ataku typu Account Footprinting.
W routerze Shenzhen Zhibotong Electronics WBT WE1626 w wersji 21.06.18 wykryto podatność umożliwiającą atakującemu wykonanie dowolnych poleceń poprzez połączenie szeregowe z portem UART.
W routerze Shenzhen Zhiboton Electronics ZBT WE1626 w wersji 21.06.18 odkryto podatność umożliwiającą eskalację uprawnień. Atakujący może wykorzystać polecenie WGET w punkcie końcowym diagnostyki sieciowej.
W systemie Maintenance Connection 2021 (wszystkie wersje) i 2022.2 firmy Accruent LLC wykryto podatność na wstrzykiwanie SQL w funkcji E-Mail to Work Order. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych poprzez nieprawidłowo przetworzone dane wejściowe.
W podatności CVE-2021-3854 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co pozwala na atak typu SQL Injection w systemie Glox Technology Useroam Hotspot. Problem dotyczy wersji Useroam Hotspot przed 5.1.0.15.
W systemie Eskom e-Belediye występuje luka związana z brakiem autoryzacji, która umożliwia pozyskiwanie informacji. Problem dotyczy wersji e-Belediye od 1.0.0.95 do przed 1.0.0.100.
Podatność CVE-2023-1064 dotyczy oprogramowania Uzay Baskul Weighbridge Automation, które przed wersją 1.1 jest narażone na atak typu SQL Injection. Problem polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.
Niektóre produkty Tenda (CP7, CP3 v.10, IT7-PCS, IT7-LCS, IT7-PRS) są podatne na wstrzyknięcie poleceń. Podatność dotyczy określonych wersji oprogramowania sprzętowego wymienionych w opisie.
Podatność na przesyłanie plików w Umbraco Forms v.8.7.0 umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku web.config i pliku asp.
Podatność w zaporze ogniowej BG-TEK COSLAT związana z niewłaściwym przetwarzaniem parametrów umożliwia zdalne włączenie kodu. Dotyczy to wersji COSLAT Firewall od 5.24.0.R.20180630 do przed 5.24.0.R.20210727.
W curl w wersjach przed v7.88.0 występuje podatność polegająca na przesyłaniu poufnych informacji w postaci czystego tekstu, która może powodować awarię funkcji HSTS przy sekwencyjnym żądaniu wielu adresów URL. Mechanizm HSTS jest ignorowany przy kolejnych transferach w tej samej linii poleceń, ponieważ stan nie jest prawidłowo przenoszony.
W podatności CVE-2022-2504 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w oprogramowaniu SDD-Baro przed wersją 2.8.432.
W podatności CVE-2023-0939 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w oprogramowaniu NTN Information Technologies Online Services Software w wersjach przed 1.17.
Podatność w aplikacji Chamberlain myQ na iOS w wersji v5.222.0.32277 wynika z braku ograniczenia szybkości żądań do endpointu resetowania hasła. Umożliwia to atakującym przeprowadzenie ataku brute-force w celu przejęcia kont użytkowników.
MISP w wersjach przed 2.4.166 pozwala użytkownikom na niebezpieczne użycie parametru 'order', co może prowadzić do nieautoryzowanego dostępu do danych.
W pliku app/Controller/Component/IndexFilterComponent.php w MISP przed wersją 2.4.167 występuje błąd w obsłudze ordered_url_params oraz additional_delimiters.
IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu w systemie z powodu błędu deserializacji YAML. Wysyłając specjalnie spreparowane wywołanie przestarzałego API, atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Przestarzałe wywołanie API zostało usunięte w Faspex 4.4.2 PL2.
Podatność zdalnego wykonania kodu w usłudze Windows iSCSI Discovery Service. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.
Podatność zdalnego wykonania kodu w programie Microsoft Word. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście zalogowanego użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS