Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.19)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W V8 w Google Chrome przed wersją 114.0.5735.110 wystąpiło zamieszanie typów, które mogło pozwolić zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.6 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może uzyskać informacje o strukturze i zawartości bazy danych oraz wykonywać polecenia SQL, które mogą zmieniać lub usuwać elementy bazy danych.
W wersjach RocketMQ 5.1.0 i poniżej istnieje ryzyko zdalnego wykonania poleceń w określonych warunkach. Wiele komponentów RocketMQ, takich jak NameServer, Broker i Controller, jest narażonych na ataki z powodu braku weryfikacji uprawnień.
W podatności CVE-2023-33010 występuje przepełnienie bufora w funkcji przetwarzania ID w oprogramowaniu układowym serii Zyxel ATP, USG FLEX, USG20(W)-VPN oraz serii VPN i ZyWALL/USG. Może to pozwolić nieautoryzowanemu atakującemu na wywołanie warunków odmowy usługi (DoS) oraz zdalne wykonanie kodu na podatnym urządzeniu.
W podatności CVE-2023-33009 występuje przepełnienie bufora w funkcji powiadomień w oprogramowaniu układowym serii Zyxel ATP, USG FLEX, USG20(W)-VPN oraz serii VPN i ZyWALL/USG. Może to umożliwić nieautoryzowanemu atakującemu wywołanie warunków odmowy usługi (DoS) oraz zdalne wykonanie kodu na podatnym urządzeniu.
Array Networks Array AG Series i vxAG (9.4.0.481 i wcześniejsze) pozwalają na zdalne wykonanie kodu. Atakujący może przeglądać system plików na bramie SSL VPN, używając atrybutu flags w nagłówku HTTP bez uwierzytelnienia. Produkt może być następnie wykorzystany przez podatny URL.
Podatność zdalnego wykonania kodu w komponencie graficznym systemu Windows. Szczegóły nie są podane w opisie, ale umożliwia ona zdalne wykonanie kodu.
Podatność na podniesienie uprawnień w sterowniku systemu plików Common Log File System (CLFS) w systemie Windows.
Podatność polegająca na obejściu funkcji zabezpieczeń w Microsoft Publisher. Szczegóły nie są podane w opisie, ale umożliwia ona atakującemu ominięcie zabezpieczeń.
Podatność w Microsoft Exchange Server umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.
Fortra GoAnywhere MFT ma podatność na wstrzyknięcie komend przed uwierzytelnieniem w servlecie License Response z powodu deserializacji dowolnego obiektu kontrolowanego przez atakującego. Problem został naprawiony w wersji 7.1.2.
Luka zdalnego wykonania kodu w wielu produktach Zoho ManageEngine (on-premise) spowodowana użyciem Apache Santuario xmlsec 1.4.1, gdzie funkcje XSLT nie są odpowiednio zabezpieczone. Eksploatacja możliwa tylko jeśli skonfigurowano SAML SSO.
Nieoczekiwana wiadomość w frameworku WebGPU IPC może prowadzić do użycia po zwolnieniu (use-after-free) i możliwej do wykorzystania ucieczki z piaskownicy. Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
Usunięcie parametru XSLT podczas przetwarzania mogło prowadzić do możliwego do wykorzystania użycia po zwolnieniu (use-after-free). Istnieją doniesienia o atakach w środowisku dzikim wykorzystujących tę wadę. Podatność dotyczy Firefoksa < 97.0.2, Firefoksa ESR < 91.6.1, Firefoksa na Androida < 97.3.0, Thunderbirda < 91.6.2 i Focus < 97.3.0.
Podatność zdalnego wykonania kodu w językach skryptowych systemu Windows.
Podatność w usłudze Windows CNG Key Isolation umożliwiająca podniesienie uprawnień. Atakujący może wykorzystać ją do uzyskania wyższych uprawnień w systemie.
Podatność polegająca na obejściu funkcji zabezpieczającej Mark of the Web w systemie Windows. Umożliwia atakującemu ominięcie zabezpieczeń związanych z plikami pobranymi z internetu.
Podatność podniesienia uprawnień w Microsoft Exchange Server. Umożliwia atakującemu podniesienie swoich uprawnień w systemie.
Podatność w usłudze Windows Print Spooler umożliwiająca podniesienie uprawnień. Atakujący może wykorzystać ją do uzyskania wyższych uprawnień w systemie.
Podatność polegająca na obejściu funkcji zabezpieczającej Mark of the Web w systemie Windows. Umożliwia atakującemu ominięcie zabezpieczeń związanych z plikami pobranymi z internetu.