Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Domyślna konfiguracja Crimson 3.1 (wersje kompilacji przed 3119.001) pozwala użytkownikowi na odczyt i modyfikację bazy danych bez uwierzytelnienia.
Wtyczka Divi Builder oraz motywy Divi i Divi Extra przed wersją 4.5.3 dla WordPressa mają lukę, która pozwala uwierzytelnionym atakującym z uprawnieniami co najmniej na poziomie współpracownika na przesyłanie dowolnych plików, w tym plików .php. Problem wynika z tego, że sprawdzenie rozszerzeń plików odbywa się po stronie klienta.
API SolarWinds Orion jest podatne na obejście uwierzytelniania, co może pozwolić zdalnemu atakującemu na wykonywanie poleceń API. Luka dotyczy wersji SolarWinds Orion Platform 2019.4 HF 5, 2020.2 bez zainstalowanej poprawki oraz 2020.2 HF 1.
Firmware w wersji 4.60 urządzeń Zyxel USG zawiera nieudokumentowane konto (zyfwp) z niezmienialnym hasłem. Hasło do tego konta znajduje się w postaci jawnej w firmware. Konto to może być użyte do logowania się przez SSH lub interfejs webowy z uprawnieniami administratora.
W aplikacji EgavilanMedia ECM Address Book 1.0 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu ominięcie panelu logowania administratora i uzyskanie pełnego dostępu administracyjnego.
Podatność na wstrzykiwanie SQL w WebAdmin systemu Cyberoam OS do wersji 2020-12-04 pozwala nieuwierzytelnionym atakującym na zdalne wykonywanie dowolnych zapytań SQL.
Wymuszona ewaluacja OGNL, gdy jest wykonywana na surowych danych wejściowych użytkownika w atrybutach tagów, może prowadzić do zdalnego wykonania kodu. Dotyczy Apache Struts 2.0.0 - 2.5.25.
W Crafter CMS Crafter Studio 3.0.1 występuje podatność na przemieszczanie się po katalogach, która pozwala nieuwierzytelnionym atakującym nadpisywać pliki systemu operacyjnego, co może prowadzić do zdalnego wykonania kodu (RCE).
MISP w wersjach przed 2.4.135 nie posiada kontroli ACL, co dotyczy plików app/Controller/GalaxyElementsController.php oraz app/Model/GalaxyElement.php.
VMware Workspace One Access, Access Connector, Identity Manager oraz Identity Manager Connector zawierają lukę wstrzyknięcia poleceń.
Wersje 1.0.0 do 1.0.5 biblioteki 'deephas' zawierają podatność na zanieczyszczenie prototypu, co pozwala atakującemu na wywołanie odmowy usługi oraz może prowadzić do zdalnego wykonania kodu.
Poprzednie domyślne ustawienie eksperymentalnego API Airflow zezwalało na wszystkie żądania API bez uwierzytelniania, co stwarza ryzyko bezpieczeństwa dla użytkowników, którzy tego nie zauważyli. Od Airflow 1.10.11 domyślnie wszystkie żądania są odrzucane; istniejące instalacje wymagają zmiany konfiguracji na [api]auth_backend = airflow.api.auth.backend.deny_all.
W SaltStack Salt do wersji 3002 występuje luka. Wysłanie spreparowanych żądań webowych do Salt API przy włączonym kliencie SSH może skutkować wstrzyknięciem poleceń powłoki.
Przepełnienie bufora sterty w interfejsie użytkownika przeglądarki Google Chrome na Androidzie w wersjach przed 86.0.4240.185. Zdalny atakujący, który przejął kontrolę nad procesem renderowania, mógł potencjalnie uciec z piaskownicy (sandbox escape) za pomocą spreparowanej strony HTML.
Przepełnienie bufora sterty w bibliotece FreeType używanej przez Google Chrome w wersjach przed 86.0.4240.111. Zdalny atakujący mógł potencjalnie wykorzystać uszkodzenie pamięci sterty za pomocą spreparowanej strony HTML.
Podatność SSRF w osTicket przed wersją 1.14.3 umożliwia atakującemu dodanie złośliwego pliku na serwer lub przeprowadzenie skanowania portów.
Podatność w konsoli Oracle WebLogic Server (Oracle Fusion Middleware) w wersjach 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 i 14.1.1.0.0. Uwierzytelniony zdalny atakujący z dostępem sieciowym przez HTTP może łatwo wykorzystać podatność i przejąć kontrolę nad serwerem.
Podatność na wstrzykiwanie poleceń, która po wykorzystaniu umożliwia zdalnym atakującym wykonanie dowolnych poleceń. QNAP naprawił problem w następujących wersjach QTS: 4.4.2.1231 (build 20200302), 4.4.1.1201 (build 20200130), 4.3.6.1218 (build 20200214), 4.3.4.1190 (build 20200107), 4.3.3.1161 (build 20200109), 4.2.6 (build 20200109).
Podatność SSRF w interfejsie downloadimage systemu CRMEB 3.0 umożliwia zdalne pobieranie dowolnych plików z serwera oraz zdalne wykonanie dowolnego kodu.
W Pythonie w wersjach od 3 do 3.9.0 testy kodeków CJK w pliku Lib/test/multibytecodec_support.py wywołują funkcję eval() na treści pobranej przez HTTP. Może to prowadzić do wykonania dowolnego kodu, jeśli treść zostanie spreparowana.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS