Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W VideoLAN VLC media player 3.x do 3.0.7 występuje podwójne zwolnienie pamięci w demuxerze Matroska podczas parsowania złośliwego pliku MKV.
W niektórych urządzeniach Ubiquiti występuje podatność na wstrzyknięcie poleceń poprzez żądanie GET do stainfo.cgi (Show AP info), ponieważ zmienna ifname nie jest sanityzowana, co umożliwia użycie metaznaków powłoki. Poprawki zostały wydane w wersjach: v4.0.1 dla produktów 802.11 ISP, v5.3.5 dla produktów AirMax ISP oraz v5.4.5 dla firmware AirSync. Przykładowo podatny jest Nanostation5 (Air OS).
Wykryto regresję bezpieczeństwa CVE-2019-9636 w Pythonie od commit d537ab0ff9767ef024f26246899728f0116b1ec3, dotyczącą wersji 2.7, 3.5, 3.6, 3.7 oraz od v3.8.0a4 do v3.8.0b1. Atakujący może nadal wykorzystać CVE-2019-9636, nadużywając części user i password w URL-u. Gdy aplikacja parsuje URL-e dostarczone przez użytkownika, aby przechowywać ciasteczka, poświadczenia lub inne informacje, możliwe jest, że atakujący poda specjalnie spreparowane URL-e, które spowodują wysłanie informacji związanych z hostem do innego hosta, niż powinny.
W Exim w wersjach od 4.87 do 4.91 (włącznie) występuje błąd polegający na niewłaściwej walidacji adresu odbiorcy w funkcji deliver_message() w pliku /src/deliver.c. Może to prowadzić do zdalnego wykonania poleceń.
W Fortinet FortiOS w wersjach 6.0.0 do 6.0.4, 5.6.0 do 5.6.8 oraz 5.4.1 do 5.4.10, a także w FortiProxy w wersjach 2.0.0, 1.2.0 do 1.2.8, 1.1.0 do 1.1.6, 1.0.0 do 1.0.7 w portalu SSL VPN występuje niewłaściwa autoryzacja. Umożliwia ona nieuwierzytelnionemu atakującemu zmianę hasła użytkownika portalu SSL VPN za pomocą specjalnie spreparowanych żądań HTTP.
W Fortinet FortiOS w wersjach 6.0.0 do 6.0.4, 5.6.3 do 5.6.7 oraz 5.4.6 do 5.4.12, a także w FortiProxy w wersjach 2.0.0, 1.2.0 do 1.2.8, 1.1.0 do 1.1.6, 1.0.0 do 1.0.7 w portalu SSL VPN występuje niewłaściwe ograniczenie ścieżki do katalogu (path traversal). Umożliwia ona nieuwierzytelnionemu atakującemu pobranie plików systemowych za pomocą specjalnie spreparowanych żądań HTTP.
W jednym z komponentów CGI Orpak SiteOmat występuje przepełnienie bufora stosu, co umożliwia zdalne wykonanie kodu. Podatność dotyczy wszystkich wersji przed 25 września 2017 roku.
Wszystkie wersje Orpak SiteOmat przed 2017-09-25 zawierają podatność na wstrzykiwanie SQL w formularzu logowania. Proces walidacji uwierzytelnienia zawiera niebezpieczne zapytanie SELECT, co umożliwia obejście uwierzytelnienia.
W kodzie źródłowym SiteOmat znaleziono lukę umożliwiającą ominięcie uwierzytelniania. Wszystkie wersje SiteOmat BOS przed zgłoszeniem tego exploit są podatne na tę lukę.
W Atlassian Crowd i Crowd Data Center wtyczka deweloperska pdkinstall była nieprawidłowo włączona w wersjach produkcyjnych. Atakujący mogący wysyłać nieuwierzytelnione lub uwierzytelnione żądania do instancji Crowd mogą wykorzystać tę podatność do instalacji dowolnych wtyczek, co pozwala na zdalne wykonanie kodu. Podatność dotyczy wersji od 2.1.0 przed 3.0.5, od 3.1.0 przed 3.1.6, od 3.2.0 przed 3.2.8, od 3.3.0 przed 3.3.5 oraz od 3.4.0 przed 3.4.4.
W module Sitecore.Security.AntiCSRF (znanym jako anti CSRF) w Sitecore CMS 7.0 do 7.2 oraz Sitecore XP 7.5 do 8.2 występuje deserializacja niezaufanych danych. Umożliwia ona nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez wysłanie serializowanego obiektu .NET w parametrze HTTP POST __CSRFTOKEN.
Podatność w SQLite3 od wersji 3.6.0 do 3.27.2 włącznie umożliwia odczyt poza dozwolonym obszarem sterty w funkcji rtreenode() podczas przetwarzania nieprawidłowych tabel rtree.
Komponent mailboxd w Synacor Zimbra Collaboration Suite w wersjach 8.7.x przed 8.7.11p10 zawiera podatność typu XML External Entity (XXE). Podatność została zademonstrowana poprzez Autodiscover/Autodiscover.xml.
Adobe XD w wersjach 16.0 i starszych zawiera podatność typu path traversal (przechodzenie ścieżki). Udana eksploatacja może doprowadzić do wykonania dowolnego kodu.
Adobe XD w wersjach 16.0 i starszych zawiera podatność typu path traversal (przechodzenie ścieżki). Udana eksploatacja może doprowadzić do wykonania dowolnego kodu.
W oprogramowaniu U.motion Builder w wersji 1.3.4 występuje podatność typu SQL Injection (CWE-89). Może ona spowodować niepożądane wykonanie kodu po wprowadzeniu niewłaściwego zestawu znaków.
Citrix Workspace App dla systemu Windows przed wersją 1904 ma wadę związaną z nieprawidłową kontrolą dostępu, co może pozwolić na nieautoryzowany dostęp do zasobów.
Podatność zdalnego wykonania kodu w usługach pulpitu zdalnego (RDP) pozwala nieuwierzytelnionemu atakującemu na wykonanie kodu poprzez wysłanie specjalnie spreparowanych żądań do systemu docelowego.
Xstream API w wersjach do 1.4.6 oraz 1.4.10, jeśli framework bezpieczeństwa nie został zainicjalizowany, może pozwolić zdalnemu atakującemu na wykonanie dowolnych poleceń powłoki poprzez manipulację przetwarzanym strumieniem wejściowym podczas deserializacji XML lub innych formatów, np. JSON.
Urządzenie LG N1A1 NAS jest podatne na zdalne wykonanie poleceń poprzez wysłanie żądania HTTP POST z odpowiednimi parametrami, co pozwala na wykonanie dowolnego kodu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS