Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
ESPCMS P8.21120101 zawiera podatność zdalnego wykonania kodu (RCE) w komponencie UPFILE_PIC_ZOOM_HIGHT. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
W komponencie Netwrix Auditor User Activity Video Recording występują podatności umożliwiające zdalne wykonanie kodu. Dotyczą one zarówno serwera Netwrix Auditor, jak i agentów zainstalowanych na monitorowanych systemach. Podatności wynikają z protokołu używanego przez komponent i mogą pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu jako użytkownik NT AUTHORITY\SYSTEM.
Wtyczka Web Stories dla WordPressa jest podatna na atak typu Server-Side Request Forgery w wersjach do 1.24.0 włącznie, z powodu niewystarczającej walidacji adresów URL dostarczanych przez parametr 'url' w punkcie końcowym REST API /v1/hotlink/proxy. Umożliwia to uwierzytelnionym użytkownikom wykonywanie żądań sieciowych do dowolnych lokalizacji z aplikacji webowej.
W wyniku niewłaściwej walidacji typów podczas analizy załączników w bibliotece Socket.io js, możliwe jest nadpisanie obiektu _placeholder, co pozwala atakującemu umieścić odniesienia do funkcji w dowolnych miejscach w powstałym obiekcie zapytania.
Podatność w Zalando Skipper w wersji 0.13.236 umożliwia atak Server-Side Request Forgery (SSRF). Atakujący może wysłać złośliwe żądanie, które zostanie wykonane przez serwer, potencjalnie prowadząc do nieautoryzowanego dostępu do wewnętrznych zasobów.
GNU Libtasn1 przed wersją 4.19.0 zawiera błąd off-by-one w sprawdzaniu rozmiaru tablicy, który wpływa na funkcję asn1_encode_simple_der.
Implementacja referencyjna Keccak XKCP SHA-3 przed wersją fdc6fef zawiera przepełnienie liczb całkowitych prowadzące do przepełnienia bufora, co pozwala atakującym na wykonanie dowolnego kodu lub utratę oczekiwanych właściwości kryptograficznych. Problem występuje w interfejsie funkcji sponge.
W oprogramowaniu Acer Altos W2000h-W570h F4 R01.03.0018 odkryto przepełnienie stosu w komponencie RevserveMem. Luka umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez wstrzyknięcie spreparowanego kodu powłoki do zmiennej NVRAM.
Urządzenia D-Link DSL-2750B w wersjach przed 1.05 pozwalają na zdalne, nieuwierzytelnione wstrzyknięcie polecenia poprzez parametr cli w login.cgi. Podatność była aktywnie wykorzystywana w latach 2016–2022.
Podatność w produkcie Oracle Web Applications Desktop Integrator w Oracle E-Business Suite (komponent: Upload) dotyczy wersji 12.2.3–12.2.11. Łatwo eksploatowalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad tym produktem. CVSS 3.1 Base Score 9.8.
Podatność pozwala na ominięcie uwierzytelniania w FortiOS, FortiProxy i FortiSwitchManager. Nieuwierzytelniony atakujący może wykonywać operacje na interfejsie administracyjnym za pomocą specjalnie spreparowanych żądań HTTP lub HTTPS.
W urządzeniu GX Group GPON ONT Titanium 2122A w wersji T2122-V1.26EXL wykryto podatność umożliwiającą eskalację uprawnień poprzez atak brute force na stronie logowania. Brak mechanizmów ograniczających liczbę nieudanych prób logowania pozwala atakującemu na wielokrotne testowanie haseł.
W produkcie WiJungle NGFW w wersji U250 odkryto brak ograniczenia szybkości żądań, co umożliwia atakującemu przeprowadzenie ataku brute force na hasło administratora i przejęcie konta.
PJSIP to darmowa i otwarta biblioteka komunikacji multimedialnej, która może błędnie przełączać się z transportu mediów SRTP na podstawowy RTP podczas restartu SRTP. To prowadzi do wysyłania mediów w sposób niebezpieczny.
W systemie Bus Pass Management System 1.0 wykryto podatność na wstrzykiwanie SQL w parametrze searchdata w skrypcie /buspassms/download-pass.php. Atakujący może wykorzystać tę lukę do wykonania dowolnych zapytań SQL na bazie danych.
Niewystarczająca walidacja danych w Mojo w Google Chrome przed 105.0.5195.102 pozwalała zdalnemu atakującemu, który przejął proces renderowania, na potencjalne wyjście z piaskownicy poprzez spreparowaną stronę HTML.
W Zimbra Collaboration (ZCS) 8.8.15 i 9.0 wykryto lukę, która pozwala atakującemu przesłać dowolne pliki przez amavis z wykorzystaniem obejścia cpio (rozpakowanie do /opt/zimbra/jetty/webapps/zimbra/public). Może to prowadzić do nieuprawnionego dostępu do kont innych użytkowników. Zimbra zaleca używanie pax zamiast cpio.
Podatność polegająca na wstrzyknięciu kodu w User Portal i Webadmin pozwala zdalnemu atakującemu na wykonanie kodu w Sophos Firewall w wersji v19.0 MR1 i starszych.
W systemie Simple Task Managing System v1.0 od SourceCodester wykryto podatność na wstrzykiwanie SQL w parametrze bookId w pliku changeStatus.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
System biblioteczny KOHA, rozwijany przez Parantez Teknoloji, przed wersją 19.05.03 zawierał podatność na nieautoryzowany atak SQL Injection. Problem został naprawiony w wersji 19.05.03.01.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS