Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jądrze Linuxa w sterowniku qedf dla kart Fibre Channel nie inicjalizowano pracy opóźnionej (stag work) dla wszystkich portów wirtualnych (vport). Powodowało to ostrzeżenie w systemie kolejek pracy i problemy z pojawianiem się tylko 32 z 64 portów NPIV online. Poprawka polega na inicjalizacji tej pracy dla wszystkich vportów.
W jądrze Linuxa w sterowniku qedf (QLogic Fibre Channel) wykryto problem z licznikiem referencji, który występuje, gdy podczas wykonywania zadania zarządzania (TMF) otrzymano żądanie LOGO. Prowadzi to do zawieszenia operacji wejścia/wyjścia i pojawienia się komunikatu o zablokowanym zadaniu (hung task). Poprawka dotyczy naprawy licznika referencji.
W OpenJPEG znaleziono lukę, która może prowadzić do wyczerpania zasobów w funkcji opj_t1_decode_cblks w pliku tcd.c. Wykorzystanie specjalnie przygotowanego pliku graficznego może spowodować odmowę usługi.
W OpenJPEG wykryto wadę, w której złośliwie skonstruowane obrazy mogą spowodować, że program wejdzie w dużą pętlę i będzie ciągle wypisywać komunikaty ostrzegawcze na terminalu.
W jądrze Linux w sterowniku mtk-vcodec istnieje potencjalne wyłuskanie pustego wskaźnika (NULL pointer dereference) w SCP. Wartość zwracana przez devm_kzalloc() musi być sprawdzona, aby uniknąć tego problemu. Podobne do CVE-2022-3113.
W OpenJPEG odkryto podatność podobną do CVE-2019-6988, która umożliwia atakującemu ominięcie istniejących zabezpieczeń i spowodowanie awarii aplikacji poprzez specjalnie spreparowany plik.
Podatność w Undertow wymaga włączenia handlera learning-push w konfiguracji serwera, co domyślnie nie jest aktywne. Przy domyślnej wartości maxAge równej -1 handler jest podatny na atak, ale jeśli ktoś nadpisze tę konfigurację, serwer nie jest zagrożony. Atakujący musi być w stanie wysłać zwykłe żądanie HTTP do serwera.
Podatność w ExtremePacs Extreme XDS pozwala na ominięcie autoryzacji poprzez klucz kontrolowany przez użytkownika, co umożliwia zbieranie danych dostarczonych przez użytkowników. Problem dotyczy wersji Extreme XDS przed 3928.
Podatność w sterownikach Realtek RtsPer (PCIe) i RtsUer (USB) dla czytników kart pamięci przed wersjami 10.0.22000.21355 i 10.0.22000.31274 umożliwia wyciek pamięci jądra zarówno ze stosu, jak i sterty.
Podatność w sterownikach Realtek RtsPer (PCIe) i RtsUer (USB) dla czytników kart pamięci przed wersjami 10.0.22000.21355 i 10.0.22000.31274 ujawnia logi sterownika zawierające adresy obiektów jądra, co osłabia mechanizm KASLR.
W API Twilio Authy, dostępnym przez Authy Android przed 25.1.0 i Authy iOS przed 26.1.0, nieuwierzytelniony punkt końcowy umożliwiał dostęp do pewnych danych o numerach telefonów. Podatność była wykorzystywana w czerwcu 2024.
Podatność w CLI oprogramowania Cisco NX-OS pozwala uwierzytelnionemu użytkownikowi z uprawnieniami administratora na wykonanie dowolnych poleceń jako root w systemie operacyjnym urządzenia. Wynika to z niewystarczającej walidacji argumentów przekazywanych do określonych poleceń konfiguracyjnych CLI.
CPython 3.9 i wcześniejsze nie blokują konfiguracji pustej listy ("[]") dla SSLContext.set_npn_protocols(), co jest nieprawidłową wartością dla bazowego API OpenSSL. Prowadzi to do nadmiernego odczytu bufora podczas używania NPN. Podatność ma niską wagę, ponieważ NPN nie jest szeroko używane, a określenie pustej listy jest mało prawdopodobne w praktyce.
W podatności CVE-2024-1153 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu SQL Injection w aplikacjach Talya Informatics Travel APPS. Problem dotyczy wersji przed v17.0.68.
Podatność CVE-2024-4604 dotyczy mechanizmu SSO (Single Sign On) w Magarsus Consultancy, umożliwiając manipulację ukrytymi polami, co prowadzi do przekierowania URL do nieufnych witryn. Problem ten występuje w wersjach od 1.0 do przed 1.1.
VMware ESXi zawiera podatność obejścia uwierzytelniania. Złośliwy aktor z wystarczającymi uprawnieniami w Active Directory (AD) może uzyskać pełny dostęp do hosta ESXi, który był skonfigurowany do używania AD do zarządzania użytkownikami, poprzez ponowne utworzenie usuniętej grupy AD (domyślnie 'ESXi Admins').
Podatność w aplikacji zdrowotnej Mia-Med firmy Mia Technology Inc. polega na użyciu uszkodzonego lub ryzykownego algorytmu kryptograficznego, co umożliwia fałszowanie podpisów z powodu niewłaściwej walidacji. Problem dotyczy wersji aplikacji przed 1.0.14.
Podatność CVE-2024-4754 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Next4Biz CRM i BPM, co pozwala na ataki typu Stored XSS. Problem ten dotyczy wersji Business Process Management (BPM) od 6.6.4.4 do przed 6.6.4.5.
Podatność Cross Site Scripting (XSS) w systemie zarządzania dokumentami Tessi Docubase w wersji 5.x umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr "sectionContent" w funkcji dodawania notatek do przesłanego pliku.
Podatność Cross Site Scripting (XSS) w systemie zarządzania dokumentami Tessi Docubase w wersji 5.x umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr filename.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS