Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w SiteServer CMS w wersji 7.x umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowaną wtyczkę. Luka wynika z braku odpowiedniego sprawdzania bezpieczeństwa wtyczek ładowanych do systemu.
Podatność w oprogramowaniu Wondershare Dr. Fone (wersja z 2021-12-06) umożliwia zdalne wykonanie kodu. Niezautoryzowany użytkownik może komunikować się przez UDP z usługą InstallAssistService.exe działającą z uprawnieniami SYSTEM i manipulować nią w celu wykonania złośliwego pliku bez żadnej walidacji, co prowadzi do uzyskania uprawnień SYSTEM.
Podatność w bibliotece httpx przed wersją 0.23.0 wynika z nieprawidłowej walidacji danych wejściowych w klasach `httpx.URL`, `httpx.Client` oraz w funkcjach korzystających z `httpx.URL.copy_with`. Może to prowadzić do nieoczekiwanego zachowania lub potencjalnych ataków.
CuppaCMS v1.0 zawiera podatność na wstrzykiwanie SQL w pliku /administrator/alerts/alertLightbox.php. Atakujący może wykorzystać ten błąd do wykonania nieautoryzowanych zapytań do bazy danych.
CuppaCMS v1.0 zawiera podatność na wstrzykiwanie SQL w parametrze menu_filter w pliku /administrator/templates/default/html/windows/right.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W Apache CouchDB przed wersją 3.2.2, atakujący może uzyskać dostęp do nieprawidłowo zabezpieczonej domyślnej instalacji bez uwierzytelniania i uzyskać uprawnienia administratora. Dokumentacja CouchDB zawsze zalecała odpowiednie zabezpieczenie instalacji, w tym użycie zapory sieciowej przed wszystkimi instalacjami.
Komponent Service Appliance w Mitel MiVoice Connect do wersji 19.2 SP3 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej walidacji danych. Dotyczy to urządzeń SA 100, SA 400 i Virtual SA.
W systemie rezerwacji obiektów sportowych SCBS Online Sports Venue Reservation System v1.0 wykryto podatność na lokalne dołączanie plików (LFI). Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowany plik PHP.
W MISP przed wersją 2.4.158 odkryto problem związany z deserializacją PHAR.
Podatność w produkcie Oracle Application Development Framework (ADF) firmy Oracle Fusion Middleware (komponent ADF Faces) w wersjach 12.2.1.3.0 i 12.2.1.4.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad ADF. CVSS 3.1 Base Score 9.8 (wpływ na poufność, integralność i dostępność).
Wtyczka SiteGround Security dla WordPressa jest podatna na obejście uwierzytelniania, co pozwala nieautoryzowanym użytkownikom zalogować się jako użytkownicy administracyjni. Problem wynika z braku weryfikacji tożsamości podczas początkowej konfiguracji 2FA, co umożliwia nieautoryzowanym użytkownikom skonfigurowanie 2FA dla oczekujących kont.
Niektóre produkty WSO2 umożliwiają nieograniczone przesyłanie plików, co prowadzi do zdalnego wykonania kodu. Atakujący musi użyć punktu końcowego /fileupload z sekwencją directory traversal w Content-Disposition, aby dotrzeć do katalogu pod web root, np. ../../../../repository/deployment/server/webapps. Dotyczy to m.in. WSO2 API Manager 2.2.0-4.0.0, WSO2 Identity Server 5.2.0-5.11.0, WSO2 Identity Server Analytics 5.4.0-5.6.0, WSO2 Identity Server as Key Manager 5.3.0-5.11.0, WSO2 Enterprise Integrator 6.2.0-6.6.0, WSO2 Open Banking AM 1.4.0-2.0.0 i WSO2 Open Banking KM 1.4.0-2.0.0.
JAI-EXT to projekt open-source rozszerzający API Java Advanced Imaging (JAI). Programy umożliwiające dostarczenie skryptu Jiffle przez żądanie sieciowe mogą prowadzić do zdalnego wykonania kodu, ponieważ skrypt Jiffle jest kompilowany do kodu Java przez Janino i wykonywany. W szczególności dotyczy to projektu GeoServer. Wersja 1.2.22 zawiera poprawkę wyłączającą możliwość wstrzyknięcia złośliwego kodu do wynikowego skryptu.
W module przesyłania plików Ghost CMS w wersji 4.42.0 występuje podatność umożliwiająca dowolne przesyłanie plików, co może pozwolić atakującemu na wykonanie dowolnego kodu za pomocą spreparowanego pliku. Producent zaznacza, że zgodnie z dokumentacją bezpieczeństwa, pliki mogą być przesyłane i publikowane wyłącznie przez zaufanych użytkowników, co jest zamierzone.
Podatność na dowolne przesyłanie plików w module przesyłania plików Skipper v0.9.1 umożliwia atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku.
Podatność w komponencie przesyłania plików ButterCMS v1.2.8 umożliwia atakującym przesłanie spreparowanego pliku SVG, co może prowadzić do wykonania dowolnego kodu na serwerze.
VMware Workspace ONE Access i Identity Manager zawierają podatność na zdalne wykonanie kodu z powodu wstrzyknięcia szablonu po stronie serwera. Złośliwy aktor z dostępem sieciowym może wywołać wstrzyknięcie szablonu, co może prowadzić do zdalnego wykonania kodu.
Podatność SQL Injection w systemie zarządzania energią budynków KevinLAB Inc Building Energy Management System 4ST BEMS 1.0.0. Atakujący może wstrzyknąć złośliwe zapytania SQL przez parametr input_id w żądaniu POST do pliku index.php.
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
W Spring Cloud Function w wersjach 3.1.6, 3.2.2 i starszych nieobsługiwanych, przy korzystaniu z funkcji routingu użytkownik może dostarczyć specjalnie spreparowany SpEL jako wyrażenie routingu, co może prowadzić do zdalnego wykonania kodu i dostępu do lokalnych zasobów.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS