Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.19)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w komponencie instalatora Cisco AnyConnect Secure Mobility Client dla Windows umożliwia uwierzytelnionemu lokalnemu atakującemu kopiowanie plików dostarczonych przez użytkownika do katalogów systemowych z uprawnieniami systemowymi. Wynika to z nieprawidłowej obsługi ścieżek katalogów.
Podatność na zdalne wykonanie kodu w Microsoft SQL Server Reporting Services, gdy nieprawidłowo obsługuje żądania stron.
Podatność w menedżerze powiadomień o aktualizacjach (Update Notification Manager) systemu Windows związana z nieprawidłową obsługą plików. Atakujący musi najpierw uzyskać możliwość wykonania kodu na systemie ofiary, aby wykorzystać podatność i podnieść uprawnienia.
W Citrix Application Delivery Controller (ADC) i Gateway w wersjach 10.5, 11.1, 12.0, 12.1 i 13.0 odkryto problem umożliwiający przechodzenie do innych katalogów (Directory Traversal).
Podatność w SonicWall SMA100 umożliwia nieuwierzytelnionemu użytkownikowi uzyskanie dostępu tylko do odczytu do nieautoryzowanych zasobów. Dotyczy wersji SMA100 9.0.0.3 i wcześniejszych.
Podatność w systemie Windows, gdy komponent Win32k nieprawidłowo obsługuje obiekty w pamięci, umożliwia podniesienie uprawnień.
W wersjach Sangoma FreePBX 115.0.16.26 i niższych, 14.0.13.11 i niższych oraz 13.0.197.13 i niższych występuje nieprawidłowa kontrola dostępu.
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
Podatność w usłudze Windows Universal Plug and Play (UPnP) związana z nieprawidłowym zezwalaniem na tworzenie obiektów COM, umożliwia podniesienie uprawnień.
Podatność w rozszerzeniach wdrażania AppX systemu Windows (AppX Deployment Extensions) związana z nieprawidłowym zarządzaniem uprawnieniami, co umożliwia dostęp do plików systemowych. Uwierzytelniony atakujący może uruchomić specjalnie spreparowaną aplikację w celu podniesienia uprawnień.
Podatność w Webmin w wersji 1.920 i wcześniejszych. Parametr 'old' w pliku password_change.cgi zawiera podatność na wstrzykiwanie poleceń.
Podatność zdalnego wykonania kodu w PAN-OS z włączonym GlobalProtect Portal lub GlobalProtect Gateway Interface. Nieuwierzytelniony atakujący zdalnie może wykonać dowolny kod.
Podatność podniesienia uprawnień w usłudze Windows AppX Deployment Service (AppXSVC) wynika z nieprawidłowej obsługi twardych linków. Atakujący może wykorzystać tę lukę do uzyskania podniesionych uprawnień w systemie.
Podatność w usłudze Harmonogramu zadań systemu Windows (Task Scheduler) związana z nieprawidłową walidacją operacji na plikach. Atakujący, który wykorzysta podatność, może uzyskać podniesione uprawnienia na systemie ofiary. Do wykorzystania wymagane jest wykonanie kodu bez uprawnień na systemie ofiary.
Citrix Workspace App dla systemu Windows przed wersją 1904 ma wadę związaną z nieprawidłową kontrolą dostępu, co może pozwolić na nieautoryzowany dostęp do zasobów.
Podatność w komponencie Oracle WebLogic Server (część Oracle Fusion Middleware, podkomponent: Web Services) dotyczy wersji 10.3.6.0.0 i 12.1.3.0.0. Łatwo wykorzystywalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie kontroli nad serwerem WebLogic. Skuteczny atak może prowadzić do całkowitego przejęcia serwera. CVSS 3.0 Base Score 9.8.
Podatność zdalnego wykonania kodu w silniku skryptowym Internet Explorer podczas obsługi obiektów w pamięci, znana jako 'Scripting Engine Memory Corruption Vulnerability'. Ten identyfikator CVE jest unikalny w stosunku do CVE-2019-0739, CVE-2019-0753 i CVE-2019-0862.
W WinRAR w wersjach do 5.61 włącznie istnieje podatność na przechodzenie poza katalog (path traversal) podczas tworzenia pola nazwy pliku w formacie ACE (w UNACEV2.dll). Gdy pole nazwy pliku jest manipulowane określonymi wzorcami, folder docelowy (wyodrębniania) jest ignorowany, co powoduje traktowanie nazwy pliku jako ścieżki bezwzględnej.
Kaseya VSA RMM przed R9.3 9.3.0.35, R9.4 przed 9.4.0.36 i R9.5 przed 9.5.0.5 umożliwia nieuprzywilejowanym zdalnym atakującym wykonanie payloadów PowerShell na wszystkich zarządzanych urządzeniach. W styczniu 2018 atakujący aktywnie wykorzystywali tę podatność w środowisku produkcyjnym.
Integracja ConnectWise ManagedITSync do 2017 dla Kaseya VSA jest podatna na nieuwierzytelnione zdalne polecenia, które umożliwiają pełny bezpośredni dostęp do bazy danych Kaseya VSA. W lutym 2019 atakujący aktywnie wykorzystywali tę podatność do pobierania i wykonywania oprogramowania ransomware na wszystkich punktach końcowych zarządzanych przez serwer VSA. Jeśli strona ManagedIT.asmx jest dostępna przez interfejs webowy Kaseya VSA, każdy z dostępem może wykonywać dowolne zapytania SQL, zarówno odczyt, jak i zapis, bez uwierzytelnienia.