Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.19)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność pozwala na ominięcie uwierzytelniania w FortiOS, FortiProxy i FortiSwitchManager. Nieuwierzytelniony atakujący może wykonywać operacje na interfejsie administracyjnym za pomocą specjalnie spreparowanych żądań HTTP lub HTTPS.
Zimbra Collaboration Suite (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Omijając uwierzytelnianie (brak authtoken), atakujący może przesłać dowolne pliki do systemu, co prowadzi do przejścia do katalogów i zdalnego wykonania kodu. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2022-27925.
Przepełnienie bufora sterty w WebRTC w przeglądarce Google Chrome przed wersją 103.0.5060.114 pozwala zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
Podatność zdalnego wykonania kodu istnieje, gdy MSDT jest wywoływany za pomocą protokołu URL z aplikacji wywołującej, takiej jak Word. Atakujący, który pomyślnie wykorzysta tę podatność, może uruchomić dowolny kod z uprawnieniami aplikacji wywołującej. Może następnie instalować programy, przeglądać, zmieniać lub usuwać dane albo tworzyć nowe konta w kontekście dozwolonym przez uprawnienia użytkownika.
RARLAB UnRAR przed wersją 6.12 na Linux i UNIX pozwala na przejście do katalogów (directory traversal) podczas operacji wypakowywania, co umożliwia zapis do plików, na przykład utworzenie pliku ~/.ssh/authorized_keys. Uwaga: WinRAR i Android RAR nie są dotknięte.
Komponent Service Appliance w Mitel MiVoice Connect do wersji 19.2 SP3 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej walidacji danych. Dotyczy to urządzeń SA 100, SA 400 i Virtual SA.
Zimbra Collaboration (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Uwierzytelniony użytkownik z uprawnieniami administratora ma możliwość przesyłania dowolnych plików do systemu, co prowadzi do przejścia do katalogów.
Zimbra Collaboration (ZCS) w wersjach 8.8.15 i 9.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych poleceń memcache do docelowej instancji. Te polecenia memcache nie są poprawnie escapowane, co powoduje nadpisanie dowolnych wpisów w pamięci podręcznej.
W urządzeniu D-Link DIR-820L w wersji 1.05B03 wykryto podatność na zdalne wykonanie kodu (RCE) poprzez wysłanie żądania HTTP POST do funkcji get set ccp.
Wykryto podatność w funkcji cgroup_release_agent_write jądra Linux w pliku kernel/cgroup/cgroup-v1.c. W określonych okolicznościach, flaw ta pozwala na wykorzystanie funkcji release_agent cgroups v1 do eskalacji uprawnień oraz nieoczekiwanego obejścia izolacji przestrzeni nazw.
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
Podatność na lokalną eskalację uprawnień w narzędziu pkexec pakietu polkit. pkexec nieprawidłowo obsługuje liczbę parametrów wywołania, co pozwala na wykonanie zmiennych środowiskowych jako komend.
Podatność na eskalację uprawnień w składniku Win32k systemu Windows.
Podatność na spoofing w instalatorze AppX dla systemu Microsoft Windows. Atakujący może wykorzystać specjalnie spreparowane pakiety zawierające złośliwe oprogramowanie z rodziny Emotet/Trickbot/Bazaloader. Atakujący może stworzyć złośliwy załącznik do kampanii phishingowych i przekonać użytkownika do jego otwarcia. Użytkownicy z mniejszymi uprawnieniami mogą być mniej dotknięci niż ci z uprawnieniami administracyjnymi. Od 27 grudnia 2023 r. Microsoft zaktualizował instalator, aby domyślnie wyłączyć protokół ms-appinstaller.
Podatność w Apache Log4j2 (w wersjach od 2.0-beta9 do 2.15.0, z wyjątkiem wydań zabezpieczeń 2.12.2, 2.12.3 i 2.3.1) pozwala atakującym na wykonanie dowolnego kodu poprzez kontrolowane przez nich wiadomości logów i parametry, gdy włączona jest substytucja wyszukiwania wiadomości. Od wersji 2.15.0 to zachowanie zostało domyślnie wyłączone, a w wersji 2.16.0 całkowicie usunięte.
Podatność polegająca na wstrzyknięciu kodu w Ivanti EPM Cloud Services Appliance (CSA) umożliwia nieuwierzytelnionemu użytkownikowi wykonanie dowolnego kodu z ograniczonymi uprawnieniami (użytkownik nobody).
Podatność zdalnego wykonania kodu w Microsoft Exchange Server. Szczegóły nie są podane w opisie, ale jest to poważna luka umożliwiająca zdalne wykonanie kodu.
Podatność polegająca na obejściu funkcji zabezpieczeń w Microsoft Excel. Szczegóły nie są podane w opisie, ale umożliwia ona atakującemu ominięcie zabezpieczeń.
Podatność w usługach domenowych Active Directory pozwala na podniesienie uprawnień. Szczegóły techniczne nie są podane w opisie.
Podatność w usługach domenowych Active Directory pozwala na podniesienie uprawnień. Szczegóły techniczne nie są podane w opisie.