Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Pythonie 3.8.4 ograniczenia sys.path określone w pliku python38._pth są ignorowane, co pozwala na ładowanie kodu z dowolnych lokalizacji. Plik <executable-name>._pth (np. python._pth) nie jest objęty tym problemem.
Podatność w Oracle WebLogic Server (komponent Core) w wersjach 12.2.1.3.0, 12.2.1.4.0 i 14.1.1.0.0 pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez IIOP lub T3 na przejęcie kontroli nad serwerem. CVSS 3.1 Base Score 9.8.
Podatność zdalnego wykonania kodu w serwerach Windows DNS występuje, gdy nieprawidłowo obsługują żądania. Znana jako 'Windows DNS Server Remote Code Execution Vulnerability'.
Podatność zdalnego wykonania kodu występuje, gdy Hyper-V RemoteFX vGPU na serwerze hosta nieprawidłowo waliduje dane wejściowe od uwierzytelnionego użytkownika w systemie gościa. Znana jako 'Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability'.
Występuje podatność na podniesienie uprawnień w Microsoft SharePoint Server i Skype for Business Server, związana z niewłaściwą walidacją tokenów OAuth. Atakujący, który skutecznie wykorzysta tę podatność, może obejść uwierzytelnianie i uzyskać nieautoryzowany dostęp.
SAP NetWeaver AS JAVA (LM Configuration Wizard) w wersjach 7.30, 7.31, 7.40, 7.50 nie wykonuje sprawdzenia uwierzytelnienia, co pozwala nieuwierzytelnionemu atakującemu na wykonywanie zadań konfiguracyjnych i krytycznych akcji, w tym tworzenie użytkownika administracyjnego. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
Endpoint goform/setUsbUnload w Tenda AC15 AC1900 w wersji 15.03.05.19 pozwala zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez parametr POST deviceName.
Podatność zdalnego wykonania kodu w MobileIron Core & Connector w wersjach 10.3.0.3 i wcześniejszych, 10.4.0.0, 10.4.0.1, 10.4.0.2, 10.4.0.3, 10.5.1.0, 10.5.2.0 i 10.6.0.0; oraz Sentry w wersjach 9.7.2 i wcześniejszych, 9.8.0; oraz Monitor and Reporting Database (RDB) w wersji 2.0.0.1 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez nieokreślone wektory.
W BIG-IP w wersjach 15.0.0-15.1.0.3, 14.1.0-14.1.2.5, 13.1.0-13.1.3.3, 12.1.0-12.1.5.1 i 11.6.1-11.6.5.1 interfejs Traffic Management User Interface (TMUI), znany również jako Configuration utility, zawiera podatność zdalnego wykonania kodu (RCE) w nieujawnionych stronach.
Na urządzeniach DrayTek Vigor3900, Vigor2960 i Vigor300B przed wersją 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload pozwala na zdalne wykonanie poleceń poprzez metaznaki powłoki w nazwie pliku, gdy używany jest typ zawartości text/x-python-script. To inny problem niż CVE-2020-14472.
W MISP w wersji 2.4.128 zidentyfikowano problem związany z niewystarczającymi kontrolami ACL w downloaderze załączników w pliku app/Controller/AttributesController.php.
Sophos XG Firewall w wersjach od 17.x do v17.5 MR12 pozwala na przepełnienie bufora i zdalne wykonanie kodu poprzez funkcję HTTP/S Bookmarks dla dostępu bezklienckiego. Hotfix HF062020.1 został opublikowany dla wszystkich firewalli z wersją v17.x.
Podatność w PAN-OS dotyczy nieprawidłowej weryfikacji podpisów w uwierzytelnianiu SAML, gdy opcja 'Validate Identity Provider Certificate' jest wyłączona. Nieuwierzytelniony atakujący z dostępem sieciowym może uzyskać dostęp do chronionych zasobów, a w przypadku interfejsów web PAN-OS/Panorama może zalogować się jako administrator. Dotyczy PAN-OS 9.1 < 9.1.3, 9.0 < 9.0.9, 8.1 < 8.1.15 oraz wszystkich wersji 8.0 (EOL).
W pakiecie jsrsasign dla Node.js przed wersją 8.0.17 wykryto podatność w implementacji RSASSA-PSS (RSA-PSS). Implementacja nie wykrywa manipulacji sygnaturą polegającej na dodaniu bajtów '\0' na początku sygnatury i akceptuje tak zmodyfikowane sygnatury jako prawidłowe.
W pakiecie jsrsasign dla Node.js przed wersją 8.0.18 odkryto podatność w implementacji deszyfrowania RSA PKCS1 v1.5. Implementacja nie wykrywa modyfikacji szyfrogramu polegającej na dodaniu bajtów '\0' na początku, co pozwala na deszyfrowanie zmodyfikowanych danych bez zgłaszania błędu. Atakujący może wykorzystać tę lukę do wywołania problemów z pamięcią.
Podatność zdalnego wykonania kodu w programie Microsoft Excel wynika z nieprawidłowego obsługiwania obiektów w pamięci. Atakujący może wykorzystać ją, nakłaniając użytkownika do otwarcia specjalnie spreparowanego pliku, co pozwala na wykonanie dowolnego kodu w kontekście bieżącego użytkownika.
Wersje Video Insight VMS przed 7.6.1 umożliwiają zdalnym atakującym przeprowadzanie ataków typu injection kodu za pomocą nieokreślonych wektorów.
IBM Data Risk Manager w wersjach 2.0.1, 2.0.2, 2.0.3 i 2.0.4 pozwala uwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń w systemie.
IBM Data Risk Manager w wersjach 2.0.1, 2.0.2, 2.0.3, 2.0.4, 2.0.5 i 2.0.6 przy konfiguracji z uwierzytelnianiem SAML pozwala zdalnemu atakującemu ominąć ograniczenia bezpieczeństwa poprzez specjalnie spreparowane żądanie HTTP, uzyskując pełny dostęp administracyjny.
Podatność w interfejsie usług webowych Cisco ASA i FTD umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataków directory traversal oraz uzyskanie dostępu do odczytu i usuwania wrażliwych plików. Problem wynika z braku odpowiedniej walidacji URL. Udany atak pozwala na podgląd lub usunięcie dowolnych plików w systemie plików usług webowych, ale po przeładowaniu urządzenia usunięte pliki są przywracane.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS