Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W Firefox dla iOS < 26 token używany do mostkowania natywnego i JavaScript może wyciekać podczas pobierania plików, co pozwala nieautoryzowanemu kodowi na wywoływanie funkcji mostkujących.
W MISP w wersji 2.4.128 zidentyfikowano problem, w którym plik app/Controller/EventsController.php nie sprawdza kontroli ACL dla wydarzeń przed umożliwieniem użytkownikowi wysłania formularza kontaktowego wydarzenia.
W ActiveMQ Artemis w wersjach od 2.7.0 do 2.12.0 występuje luka, która pozwala na niezamierzone przechowywanie haseł w postaci niezaszyfrowanej w pliku cieniowym Artemis (etc/artemis-users.properties) podczas wykonywania operacji `resetUsers`. Lokalny atakujący może wykorzystać tę lukę do odczytania zawartości pliku cieniowego Artemis.
Adobe Campaign Classic przed wersją 20.2 ma podatność na odczyt poza zakresem (out-of-bounds read). Skuteczne wykorzystanie może prowadzić do ujawnienia informacji.
Podatność w interfejsie CLI Cisco Enterprise NFV Infrastructure Software (NFVIS) umożliwia uwierzytelnionemu lokalnemu atakującemu uzyskanie dostępu do powłoki root na systemie operacyjnym oraz nadpisanie lub odczyt dowolnych plików. Atakujący musi posiadać ważne poświadczenia administracyjne. Problem wynika z nieprawidłowej walidacji argumentów poleceń CLI. Udane wykorzystanie może pozwolić na uzyskanie dostępu do powłoki root i nadpisanie lub odczyt dowolnych plików.
W ISC BIND9 w wersjach BIND 9.11.14 -> 9.11.19, BIND 9.14.9 -> 9.14.12, BIND 9.16.0 -> 9.16.3, BIND Supported Preview Edition 9.11.14-S1 -> 9.11.19-S1: Dopóki serwer nazw nie świadczy usług autorytatywnych dla jednej lub więcej stref i co najmniej jedna strefa nie zawiera pustego wpisu nieterminalnego z gwiazdką ("*"), ten defekt nie może wystąpić. Potencjalny atakujący, który ma możliwość zmiany zawartości strefy, mógłby teoretycznie wprowadzić taki rekord, aby wykorzystać ten warunek do spowodowania odmowy usługi, choć uważamy użycie tego wektora za mało prawdopodobne, ponieważ taki atak wymagałby znacznego poziomu uprawnień i byłby łatwy do wyśledzenia.
Stos TCP/IP Treck w wersjach przed 6.0.1.66 zawiera błąd odczytu poza granicami bufora w obsłudze IPv6.
Problem ze zużyciem pamięci został rozwiązany poprzez ulepszone zarządzanie pamięcią. Luka występuje w iOS 13.5 i iPadOS 13.5, iOS 12.4.7, watchOS 6.2.5, watchOS 5.3.7. Przetwarzanie złośliwie spreparowanej wiadomości e-mail może prowadzić do uszkodzenia sterty.
W Roundcube Webmail przed 1.3.12 i 1.4.x przed 1.4.5 występuje luka XSS poprzez złośliwy załącznik XML, ponieważ text/xml jest jednym z dozwolonych typów dla podglądu.
Podatność ujawnienia informacji w komponencie Windows GDI, który nieprawidłowo ujawnia zawartość pamięci. Atakujący może uzyskać informacje umożliwiające dalsze naruszenie systemu użytkownika.
Podatność polegająca na spoofingu w Microsoft Power BI Report Server, wynikająca z nieprawidłowej walidacji typu zawartości przesyłanych załączników. Uwierzytelniony atakujący może przesłać specjalnie spreparowany plik, a po jego otwarciu przez użytkownika wykonać działania i skrypty w kontekście bezpieczeństwa tego użytkownika.
Podatność na ujawnienie informacji w Windows Graphics Device Interface (GDI) związana z nieprawidłowym obsługiwaniem obiektów w pamięci. Atakujący może uzyskać informacje z systemu, ale samo ujawnienie nie pozwala na wykonanie kodu.
Podatność na ujawnienie informacji w Windows Graphics Device Interface (GDI) związana z nieprawidłowym obsługiwaniem obiektów w pamięci. Atakujący może uzyskać informacje z systemu, ale samo ujawnienie nie pozwala na wykonanie kodu.
Podatność podniesienia uprawnień w usłudze Windows State Repository Service z powodu nieprawidłowego obsługiwania obiektów w pamięci. Atakujący może uruchomić dowolny kod w podwyższonym kontekście.
Podatność na odmowę usługi w usłudze Connected User Experiences and Telemetry Service, wynikająca z nieprawidłowego obsługiwania operacji na plikach.
Podatność ujawniania informacji w podsystemie Windows Client Server Run-Time Subsystem (CSRSS) z powodu nieprawidłowego obsługiwania obiektów w pamięci. Atakujący musi być zalogowany i uruchomić specjalnie spreparowaną aplikację.
Podatność obejścia funkcji zabezpieczeń w usłudze Harmonogram zadań systemu Microsoft Windows, wynikająca z nieprawidłowej weryfikacji połączeń klienckich przez RPC. Atakujący typu man-in-the-middle może wysłać specjalnie spreparowane żądanie i uruchomić dowolny kod z uprawnieniami administratora.
Podatność typu spoofing w Microsoft SharePoint Server z powodu nieprawidłowego oczyszczania specjalnie spreparowanych żądań internetowych. Uwierzytelniony atakujący może przeprowadzić ataki XSS i uruchomić skrypty w kontekście bieżącego użytkownika.
Podatność typu cross-site scripting (XSS) w Microsoft SharePoint Server, wynikająca z nieprawidłowego oczyszczania specjalnie spreparowanych żądań webowych. Uwierzytelniony atakujący może wysłać złośliwe żądanie i wykonać skrypt w kontekście bieżącego użytkownika.
Podatność na spoofing w Microsoft SharePoint Server, wynikająca z nieprawidłowego oczyszczania specjalnie spreparowanych żądań webowych. Uwierzytelniony atakujący może wysłać spreparowane żądanie i wykonać skrypt w kontekście bieżącego użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS