Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie operacyjnym terminala GullsEye występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji przed 5.0.13.
login/index.php w CWP (Control Web Panel lub CentOS Web Panel) 7 przed 0.9.8.1147 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez metaznaki powłoki w parametrze login.
Podatność przepełnienia bufora opartego na stercie [CWE-122] w FortiOS SSL-VPN 7.2.0 do 7.2.2, 7.0.0 do 7.0.8, 6.4.0 do 6.4.10, 6.2.0 do 6.2.11, 6.0.15 i wcześniejszych oraz FortiProxy SSL-VPN 7.2.0 do 7.2.1, 7.0.7 i wcześniejszych może pozwolić zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu lub poleceń poprzez specjalnie spreparowane żądania.
W TrueConf Server 5.2.0.10225 występuje problem z wstrzykiwaniem SQL w interfejsie API, który pozwala zdalnym, nieautoryzowanym atakującym na wykonywanie dowolnych poleceń SQL, co może prowadzić do zdalnego wykonania kodu. Problem został naprawiony w wersji 5.2.6.10025.
Nieoczekiwana wiadomość w frameworku WebGPU IPC może prowadzić do użycia po zwolnieniu (use-after-free) i możliwej do wykorzystania ucieczki z piaskownicy. Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
W Softr v2.0 odkryto podatność na wstrzykiwanie kodu HTML przez pole Nazwa na stronie Konta. Atakujący może wprowadzić złośliwy kod HTML, który zostanie wykonany w przeglądarce ofiary.
W Mbed TLS przed wersją 2.28.2 oraz 3.x przed wersją 3.3.0 odkryto problem związany z potencjalnym przepełnieniem bufora w pamięci oraz nadmiernym odczytem bufora w DTLS. Problem występuje, gdy włączona jest opcja MBEDTLS_SSL_DTLS_CONNECTION_ID, a MBEDTLS_SSL_CID_IN_LEN_MAX jest większe niż 2 * MBEDTLS_SSL_CID_OUT_LEN_MAX.
Alist w wersji 3.4.0 jest podatny na atak typu Directory Traversal, co pozwala na dostęp do plików i katalogów poza zamierzonymi ścieżkami. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu plików.
Wtyczka Cryptocurrency Widgets Pack w wersji 1.8.1 i wcześniejszych zawiera podatność na nieautoryzowany atak typu SQL Injection. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W Proxmox Virtual Environment przed wersją 7.2-3 wykryto odbitą podatność na skrypty między witrynami (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez nieistniejące punkty końcowe w ścieżce /api2/html/.
Podatność CVE-2022-27518 umożliwia zdalne wykonanie dowolnego kodu bez uwierzytelnienia. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
Wtyczka Dokan dla WordPressa w wersjach przed 3.7.6 nieprawidłowo sanitizuje i ucieka parametr przed jego użyciem w zapytaniu SQL, co prowadzi do podatności na atak typu SQL injection, którą mogą wykorzystać nieautoryzowani użytkownicy.
Występuje podatność wstrzyknięcia poleceń, która może prowadzić do nieuwierzytelnionego zdalnego wykonania kodu poprzez wysłanie specjalnie spreparowanych pakietów do portu UDP 8211 protokołu PAPI (Aruba Networks AP management protocol). Udana eksploatacja pozwala na wykonanie dowolnego kodu z uprawnieniami uprzywilejowanego użytkownika w systemie operacyjnym.
Podatność w oprogramowaniu Brocade Fabric OS w wersjach v9.1.1, v9.0.1e, v8.2.3c, v7.4.2j i wcześniejszych umożliwia zdalnemu, nieautoryzowanemu atakującemu wykonanie poleceń na przełączniku Brocade Fabric OS. Atakujący może m.in. modyfikować strefy, wyłączać przełącznik, dezaktywować porty oraz zmieniać adres IP przełącznika.
Podatność CVE-2022-42699 dotyczy wtyczki Easy WP SMTP w wersjach do 1.5.1 na platformie WordPress, umożliwiająca zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Wykorzystanie tej luki może prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu.
Występuje potencjalna podatność na eskalację do zdalnego wykonania kodu (RCE) w przypadku używania kolumn z serializacją YAML w Active Record w wersjach poniżej 7.0.3.1, 6.1.6.1, 6.0.5.1 oraz 5.2.8.1. Atakujący, który ma możliwość manipulacji danymi w bazie danych (np. poprzez SQL injection), może uzyskać możliwość eskalacji do RCE.
Podatność CVE-2022-32221 dotyczy biblioteki libcurl, która może błędnie używać funkcji zwrotnej do odczytu danych (`CURLOPT_READFUNCTION`) podczas transferów HTTP(S), nawet gdy ustawiono opcję `CURLOPT_POSTFIELDS`. Problem występuje, gdy ten sam uchwyt był wcześniej używany do żądania `PUT`, co może prowadzić do wysyłania niewłaściwych danych lub używania pamięci po jej zwolnieniu w kolejnych żądaniach `POST`.
Cacti zawiera podatność na wstrzyknięcie poleceń w pliku remote_agent.php, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze. Atakujący może obejść autoryzację, fałszując nagłówek HTTP (np. Forwarded-For), a następnie wykorzystać parametr poller_id do wstrzyknięcia poleceń systemowych. Wymagane jest istnienie wpisu poller_item z akcją POLLER_ACTION_SCRIPT_PHP, co jest prawdopodobne na produkcyjnych instancjach.
W Rukovoditel v3.2.1 odkryto podatność na wstrzykiwanie SQL przez parametr heading_field_id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
W webTareas 2.4p5 wykryto podatność na wstrzykiwanie SQL w pliku phasesets.php poprzez parametr id. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS