Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność zdalnego wykonania kodu w Microsoft Exchange Server. Umożliwia atakującemu wykonanie dowolnego kodu na serwerze.
Microsoft Exchange Server zawiera podatność na zdalne wykonanie kodu. Podatność ta może być wykorzystana przez atakującego do wykonania dowolnego kodu na serwerze.
Podatność zdalnego wykonania kodu w Microsoft Exchange Server. Umożliwia atakującemu wykonanie dowolnego kodu na serwerze.
Urządzenia SerComm AG Combo VD625 z oprogramowaniem AGSOT_2.1.0 są podatne na wstrzykiwanie znaków CRLF w funkcji pobierania plików. Atakujący może manipulować nagłówkiem Content-Disposition, co umożliwia wstrzyknięcie dowolnych nagłówków HTTP.
Klient vSphere (HTML5) zawiera podatność na zdalne wykonanie kodu we wtyczce vCenter Server. Osoba atakująca z dostępem sieciowym do portu 443 może wykorzystać ten problem do wykonania poleceń z nieograniczonymi uprawnieniami na systemie operacyjnym hostującym vCenter Server. Dotyczy to VMware vCenter Server (7.x przed 7.0 U1c, 6.7 przed 6.7 U3l i 6.5 przed 6.5 U3n) oraz VMware Cloud Foundation (4.x przed 4.2 i 3.x przed 3.10.1.2).
Accellion FTA w wersji 9_12_370 i wcześniejszych jest podatny na wykonanie poleceń systemowych poprzez specjalnie spreparowane żądanie POST kierowane do różnych punktów końcowych administracyjnych. Wersja naprawiona to FTA_9_12_380 i nowsze.
Accellion FTA w wersji 9_12_411 i wcześniejszych jest podatny na atak typu SSRF (Server-Side Request Forgery) poprzez specjalnie spreparowane żądanie POST do pliku wmProgressstat.html. Wersja naprawiona to FTA_9_12_416 i nowsze.
Accellion FTA w wersji 9_12_370 i wcześniejszych jest podatny na wstrzyknięcie SQL poprzez specjalnie spreparowany nagłówek Host w żądaniu do document_root.html. Wersja naprawiona to FTA_9_12_380 i nowsze.
Podatność SQL Injection w PNPSCADA 2.200816204020 występuje w parametrze 'interf' w pliku /browse.jsp. Umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL.
Zidentyfikowano podatność w panelach HMI Comfort SIMATIC (w tym warianty SIPLUS) oraz w różnych modelach SINAMICS, które mają włączoną usługę telnet. Urządzenia te nie wymagają uwierzytelnienia dla tej usługi, co może umożliwić zdalnemu atakującemu uzyskanie pełnego dostępu do urządzenia.
Podatność umożliwiająca zdalne wykonanie kodu w produkcie Micro Focus Operation Bridge Reporter (OBR) w wersji 10.40. Wykorzystanie podatności pozwala na zdalne wykonanie kodu na serwerze OBR.
Podatność na iniekcję SQL w produkcie SonicWall SSLVPN SMA100 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie zapytania SQL w celu uzyskania nazw użytkowników, haseł i innych informacji związanych z sesją. Podatność dotyczy wersji 10.x produktu SMA100.
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
W urządzeniach D-Link DIR-825 R1 z wersjami do 3.0.1 (przed 2020-11-20) występuje przepełnienie bufora w interfejsie webowym. Luka pozwala atakującemu na zdalne wykonanie kodu bez uwierzytelnienia.
WinSCP przed wersją 5.17.10 pozwala zdalnym atakującym na wykonanie dowolnych programów, gdy procedura obsługi URL napotka spreparowany adres URL ładujący ustawienia sesji. Jest to wykorzystywalne m.in. w domyślnej instalacji, w której WinSCP jest programem obsługującym adresy sftp://.
W ONLYOFFICE Document Server przed wersją 5.6.3 występuje podatność typu directory traversal w punkcie końcowym /upload, gdy używany jest JWT. Poprzez sekwencję /.. w parametrze przesyłania obrazu możliwe jest zdalne wykonanie kodu.
Domyślne ustawienie MISP 2.4.136 nie wymagało podania poprzedniego hasła podczas zmiany hasła, co może prowadzić do nieautoryzowanych zmian.
Python 3.x do wersji 3.9.1 zawiera przepełnienie bufora w funkcji PyCArg_repr w _ctypes/callproc.c, co może prowadzić do zdalnego wykonania kodu w niektórych aplikacjach Pythona, które akceptują liczby zmiennoprzecinkowe jako niezaufane dane wejściowe, na przykład argument 1e300 do c_double.from_param. Problem wynika z niebezpiecznego użycia funkcji sprintf.
Ignition w wersji przed 2.5.2, używany w Laravel i innych produktach, pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnego kodu z powodu niebezpiecznego użycia funkcji file_get_contents() i file_put_contents(). Luka jest wykorzystywana w witrynach działających w trybie debugowania z Laravel przed 8.4.2.
W Google Chrome przed wersją 86.0.4240.198 występuje luka use-after-free w mechanizmie izolacji witryn. Zdalny atakujący, który przejął proces renderujący, może potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS