Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-640 związana z słabym mechanizmem odzyskiwania hasła dla zapomnianego hasła. Może to umożliwić atakującemu uzyskanie dostępu na poziomie administratora do urządzenia.
W bibliotece lz4 istnieje usterka. Atakujący, który dostarczy spreparowany plik do aplikacji korzystającej z lz4, może wywołać przepełnienie liczby całkowitej, prowadzące do wywołania memmove() z ujemnym argumentem rozmiaru, co powoduje zapis poza zakresem i/lub awarię. Największy wpływ tej usterki dotyczy dostępności, z pewnym potencjalnym wpływem na poufność i integralność.
Zidentyfikowano podatność w rodzinie kontrolerów SIMATIC Drive oraz innych urządzeniach, które mogą być narażone na obejście ochrony pamięci. Atakujący zdalny, nieautoryzowany, mający dostęp do portu 102/tcp, może potencjalnie zapisywać dowolne dane i kod w chronionych obszarach pamięci lub odczytywać wrażliwe dane.
Podatność na deserializację niezaufanych danych w CheckboxWeb.dll w Checkbox Survey pozwala zdalnemu nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu. Problem dotyczy wersji Checkbox Survey wcześniejszych niż 7.
W Versa Director wykryto podatność na wstrzykiwanie poleceń, która umożliwia wykonanie dowolnych poleceń systemu operacyjnego przez podatną aplikację. Atak jest możliwy, gdy aplikacja przekazuje niebezpieczne dane użytkownika do powłoki systemowej, głównie z powodu niewystarczającej walidacji wejścia.
Klient vSphere (HTML5) zawiera podatność na zdalne wykonanie kodu z powodu braku walidacji danych wejściowych we wtyczce Virtual SAN Health Check, która jest domyślnie włączona w vCenter Server. Osoba atakująca z dostępem sieciowym do portu 443 może wykorzystać ten problem do wykonania poleceń z nieograniczonymi uprawnieniami na systemie operacyjnym hostującym vCenter Server.
Funkcja mq_notify w bibliotece GNU C Library (glibc) w wersjach 2.32 i 2.33 zawiera błąd typu use-after-free. Może ona użyć obiektu atrybutów wątku powiadomień (przekazanego przez parametr struct sigevent) po tym, jak został on zwolniony przez wywołującego, co prowadzi do odmowy usługi (awarii aplikacji) lub potencjalnie innych nieokreślonych skutków.
BMC Remedy Mid Tier 9.1SP3 zawiera podatność na zdalne i lokalne dołączanie plików. Brak ograniczeń dotyczących docelowych zasobów umożliwia ataki takie jak identyfikacja systemu, skanowanie wewnętrznych portów, fałszowanie żądań po stronie serwera (SSRF) oraz zdalne wykonanie kodu (RCE).
W QNAP NAS z zainstalowanym HBS 3 (Hybrid Backup Sync) wykryto podatność polegającą na nieprawidłowej autoryzacji. Podatność umożliwia zdalnym atakującym zalogowanie się do urządzenia bez odpowiednich uprawnień.
Zidentyfikowano podatność w różnych modelach paneli HMI SIMATIC oraz systemach SINAMICS, która dotyczy nieprawidłowego dostępu do pamięci w obsłudze układu urządzenia. Może to prowadzić do wykonania złośliwego kodu.
Podatność w stosie protokołu HTTP umożliwia zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.
W urządzeniach Tenda AC11 z firmware do wersji 02.03.01.104_CN wykryto przepełnienie bufora na stosie w /goform/setmac. Podatność pozwala atakującemu na wykonanie dowolnego kodu poprzez specjalnie spreparowane żądanie POST.
W aplikacji administratora na urządzeniach ASUS GT-AC2900 (przed 3.0.0.4.386.42643) i Lyra Mini (przed 3.0.0.4_384_46630) występuje obejście uwierzytelniania przy przetwarzaniu zdalnego wejścia od nieuwierzytelnionego użytkownika. Prowadzi to do nieautoryzowanego dostępu do interfejsu administratora.
W Pythonie przed wersją 3.9.5 biblioteka ipaddress nieprawidłowo obsługuje wiodące zera w oktetach adresu IP. W niektórych sytuacjach pozwala to atakującym obejść kontrolę dostępu opartą na adresach IP.
Wiele podatności w interfejsie zarządzania opartym na web w Cisco HyperFlex HX może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków wstrzykiwania poleceń. Szczegóły techniczne znajdują się w sekcji Details biuletynu.
Wiele podatności w interfejsie zarządzania opartym na web w Cisco HyperFlex HX może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na przeprowadzenie ataków wstrzykiwania poleceń. Szczegóły techniczne znajdują się w sekcji Details biuletynu.
W bibliotece Node.js mixme przed wersją 0.5.1, atakujący może dodawać lub zmieniać właściwości obiektu za pomocą '__proto__' poprzez funkcje mutate() i merge(). Zanieczyszczony atrybut zostanie bezpośrednio przypisany do każdego obiektu w programie.
Podatność typu path traversal w interfejsach webowych routerów Buffalo WSR-2533DHPL2 (firmware <= 1.02) oraz WSR-2533DHP3 (firmware <= 1.24). Umożliwia nieuwierzytelnionemu zdalnemu atakującemu obejście mechanizmu uwierzytelniania.
W GitLab CE/EE od wersji 11.9 wykryto podatność polegającą na nieprawidłowej walidacji plików graficznych przekazywanych do parsera. Umożliwia to zdalne wykonanie kodu.
Pulse Connect Secure 9.0R3/9.1R1 i nowsze są podatne na obejście uwierzytelniania w funkcjach Windows File Share Browser i Pulse Secure Collaboration, co może pozwolić nieuwierzytelnionemu użytkownikowi na zdalne wykonanie dowolnego kodu na bramie Pulse Connect Secure. Ta podatność była wykorzystywana w środowisku produkcyjnym.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS