Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.16)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniu Intelbras VIP 3260 Z IA 2.840.00IB005.0.T odkryto lukę bezpieczeństwa związaną z nieznaną funkcjonalnością pliku /OutsideCmd. Manipulacja tą funkcjonalnością prowadzi do słabej odzyskiwalności haseł.
Podatność typu Reflected Cross-site Scripting (XSS) w ENOVIAvpm Web Access, występująca w wersjach od 1 Release 16 do 1 Release 19, umożliwia atakującemu wykonanie dowolnego kodu skryptowego w sesji przeglądarki użytkownika.
SmarterTools SmarterMail w wersjach przed 9526 umożliwia ataki typu XSS poprzez żądania MAPI. Wykorzystanie tej podatności może prowadzić do wykonania złośliwego kodu w kontekście użytkownika.
W Visual Studio Code Extensions Markdown Preview Enhanced w wersji 0.8.18 występuje problem, który pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku .Md.
W ustawieniu code-runner.executorMap w rozszerzeniu Code Runner dla Visual Studio Code w wersji 0.12.2 występuje problem, który pozwala atakującym na wykonanie dowolnego kodu podczas otwierania przygotowanego środowiska roboczego.
W bibliotece libvpx wykryto przepełnienie bufora sterty. Podatność została załatana w przeglądarkach Firefox 147.0.4, Firefox ESR 140.7.1, Firefox ESR 115.32.1 oraz klientach poczty Thunderbird 140.7.2 i 147.0.2.
Podatność typu Out-Of-Bounds Write w procedurze odczytu plików EPRT w SOLIDWORKS eDrawings od wersji SOLIDWORKS Desktop 2025 do 2026 może umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku EPRT.
Podatność typu Out-Of-Bounds Read w procedurze odczytu plików EPRT w SOLIDWORKS eDrawings od wersji SOLIDWORKS Desktop 2025 do 2026 może umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku EPRT.
Podatność typu użycie niezinicjalizowanej zmiennej w procedurze odczytu plików EPRT w SOLIDWORKS eDrawings od wersji SOLIDWORKS Desktop 2025 do 2026 może umożliwić atakującemu wykonanie dowolnego kodu podczas otwierania specjalnie przygotowanego pliku EPRT.
Aplikacje desktopowe Mattermost w wersjach <=6.0, 6.2.0 oraz 5.2.13.0 nie weryfikują linków pomocy, co pozwala złośliwemu serwerowi Mattermost na uruchamianie dowolnych programów na systemie użytkownika poprzez kliknięcie na określone elementy w menu Pomoc.
W bibliotece zhanghuanhao LibrarySystem (do wersji 1.1.1) zidentyfikowano podatność w nieznanej funkcji pliku BookController.java, która prowadzi do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie.
Wykryto lukę bezpieczeństwa w yued-fe LuLu UI do wersji 3.0.0, która dotyczy funkcji child_process.exec w pliku run.js. Manipulacja tą funkcją prowadzi do wstrzyknięcia poleceń systemowych.
Zidentyfikowano słabość w Total VPN 0.5.29.0 na systemie Windows. Dotyczy ona nieznanej funkcjonalności pliku C:\Program Files\Total VPN\win-service.exe, co może prowadzić do niecytowanej ścieżki wyszukiwania.
W Flos Freeware Notepad2 w wersjach 4.2.22, 4.2.23, 4.2.24 i 4.2.25 odkryto lukę bezpieczeństwa w nieznanej funkcji biblioteki Msimg32.dll. Manipulacja tą funkcją prowadzi do niekontrolowanej ścieżki wyszukiwania.
W urządzeniu Tosei Self-service Washing Machine w wersji 4.02 znaleziono lukę, która dotyczy nieznanej funkcji w pliku /cgi-bin/tosei_datasend.php. Manipulacja argumentem adr_txt_1 może prowadzić do wstrzyknięcia poleceń.
Serwer eNet SMART HOME w wersjach 2.2.1 i 2.3.1 zawiera podatność na eskalację uprawnień z powodu niewystarczających kontroli autoryzacji w metodzie setUserGroup JSON-RPC. Użytkownik o niskich uprawnieniach (UG_USER) może wysłać spreparowane żądanie POST do /jsonrpc/management, określając swoją nazwę użytkownika, aby podnieść swoje konto do grupy UG_ADMIN.
Serwer eNet SMART HOME w wersjach 2.2.1 i 2.3.1 zawiera lukę w autoryzacji w metodzie resetUserPassword JSON-RPC, która pozwala każdemu uwierzytelnionemu użytkownikowi o niskich uprawnieniach (UG_USER) zresetować hasło dowolnych kont, w tym kont w grupach UG_ADMIN i UG_SUPER_ADMIN, bez podawania aktualnego hasła. Atakujący może wysłać odpowiednio skonstruowane żądanie JSON-RPC do /jsonrpc/management, co prowadzi do przejęcia konta z pełnym dostępem administracyjnym.
Serwer eNet SMART HOME w wersjach 2.2.1 i 2.3.1 zawiera lukę w autoryzacji w metodzie deleteUserAccount JSON-RPC, która pozwala na usunięcie dowolnych kont użytkowników przez uwierzytelnionego użytkownika o niskich uprawnieniach (UG_USER), z wyjątkiem wbudowanego konta administratora. Aplikacja nie egzekwuje kontroli dostępu opartej na rolach w tej funkcji.
Zidentyfikowano podatność w Unidocs ezPDF DRM Reader oraz ezPDF Reader w wersjach 2.0/3.0.0.4, dotycząca nieznanej części biblioteki SHFOLDER.dll. Manipulacja ta prowadzi do niekontrolowanej ścieżki wyszukiwania.
System Micca KE700 zawiera wadliwą logikę resynchronizacji i jest podatny na ataki typu replay. Atak wymaga wysłania dwóch wcześniej przechwyconych kodów w określonej sekwencji, co pozwala wymusić akceptację przestarzałych kodów kroczących i wykonanie polecenia. Udane wykorzystanie umożliwia sklonowanie kluczyka alarmowego i nieautoryzowany dostęp do pojazdu w celu otwarcia lub zamknięcia drzwi.