Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Odkryto usterkę w FasterXML jackson-databind we wszystkich wersjach przed 2.9.10 i 2.10.0, która umożliwiała polimorficzną deserializację złośliwych obiektów przy użyciu gadżetu xalan JNDI, gdy używana jest z metodami obsługi typów polimorficznych, takimi jak `enableDefaultTyping()` lub gdy @JsonTypeInfo używa `Id.CLASS` lub `Id.MINIMAL_CLASS`, lub w inny sposób, w którym ObjectMapper.readValue może tworzyć obiekty z niebezpiecznych źródeł. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
Odkryto usterkę w jackson-databind w wersjach przed 2.9.10, 2.8.11.5 i 2.6.7.3, która umożliwiała polimorficzną deserializację złośliwego obiektu przy użyciu klas JNDI z commons-configuration 1 i 2. Atakujący mógł wykorzystać tę usterkę do wykonania dowolnego kodu.
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z br.com.anteros.dbcp.AnterosDBCPConfig (znanym jako anteros-core).
FasterXML jackson-databind 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, związaną z com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig (znanym jako ibatis-sqlmap).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacyjnymi a typowaniem, co dotyczy org.apache.hadoop.shaded.com.zaxxer.hikari.HikariConfig (znanego jako shaded hikari-config).
Podatność Ghostcat w Apache Tomcat dotyczy protokołu AJP. Domyślnie włączony konektor AJP nasłuchiwał na wszystkich adresach IP, co pozwalało atakującemu na odczyt dowolnych plików z aplikacji webowej oraz przetwarzanie ich jako JSP, co mogło prowadzić do zdalnego wykonania kodu.
Zimbra Collaboration Suite (ZCS) przed wersją 8.8.15 Patch 7 umożliwia atak typu SSRF, gdy zainstalowany jest zimlet WebEx i włączony jest zimlet JSP.
FasterXML jackson-databind w wersjach od 2.0.0 do 2.9.10.2 nie blokuje odpowiednio klas xbean-reflect/JNDI, co demonstruje org.apache.xbean.propertyeditor.JndiConverter. Może to umożliwić zdalne wykonanie kodu.
W EyesOfNetwork 5.3 instalacja domyślnie używa tego samego klucza API (zakodowanego na stałe jako EONAPI_KEY w include/api_functions.php dla wersji API 2.4.2) dla wszystkich instalacji, co pozwala atakującemu obliczyć lub odgadnąć token dostępu administratora.
PlaySMS przed wersją 1.4.3 nie sanityzuje danych wejściowych złośliwego ciągu znaków.
W pliku eap.c demona pppd w ppp w wersjach od 2.4.2 do 2.4.8 występuje przepełnienie bufora rhostname w funkcjach eap_request i eap_response. Podatność dotyczy przetwarzania pakietów EAP.
Urządzenia DrayTek Vigor2960 1.3.1_Beta, Vigor3900 1.4.4_Beta oraz Vigor300B 1.3.3_Beta, 1.4.2.1_Beta i 1.4.4_Beta pozwalają na zdalne wykonanie kodu jako root (bez uwierzytelniania) poprzez metaznaki powłoki w URI cgi-bin/mainfunction.cgi. Problem został naprawiony w wersji v1.5.1 dla Vigor3900/2960/300B.
HttpObjectDecoder.java w Netty przed wersją 4.1.44 pozwala na wystąpienie nagłówka Content-Length wraz z drugim nagłówkiem Content-Length lub nagłówkiem Transfer-Encoding, co może prowadzić do nieprawidłowego przetwarzania żądań HTTP.
W pliku HttpObjectDecoder.java w bibliotece Netty przed wersją 4.1.44 nagłówek HTTP pozbawiony dwukropka może zostać zinterpretowany jako osobny nagłówek o nieprawidłowej składni lub jako "invalid fold". Może to prowadzić do błędnej interpretacji żądań HTTP.
smtp_mailaddr w smtp_session.c w OpenSMTPD 6.6, używanym w OpenBSD 6.6 i innych produktach, pozwala zdalnym atakującym na wykonanie dowolnych poleceń jako root poprzez spreparowaną sesję SMTP, co pokazano za pomocą metaznaków powłoki w polu MAIL FROM. Dotyczy to domyślnej konfiguracji "uncommented". Problem istnieje z powodu nieprawidłowej wartości zwracanej w przypadku niepowodzenia walidacji danych wejściowych.
Podatność w Oracle Coherence (komponent Caching, CacheStore, Invocation) umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez T3 przejęcie kontroli nad produktem. Dotyczy wersji 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 i 12.2.1.4.0. CVSS 3.0 Base Score 9.8.
Podatność w Oracle WebLogic Server (komponent WLS Core Components) umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym przez IIOP przejęcie kontroli nad serwerem. Dotyczy wersji 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 i 12.2.1.4.0. CVSS 3.0 Base Score 9.8.
Podatność zdalnego wykonania kodu w Microsoft .NET Framework wynika z nieprawidłowej walidacji danych wejściowych. Określana jako '.NET Framework Remote Code Execution Injection Vulnerability'.
W pliku nlist.c w bibliotece libbsd przed wersją 0.10.0 występuje odczyt poza granicami bufora podczas porównywania nazwy symbolu z tablicy łańcuchów (strtab).
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.2 nie zawiera odpowiedniej blokady klas net.sf.ehcache. Może to umożliwić atakującemu wykorzystanie deserializacji polimorficznej do wykonania niebezpiecznych operacji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS