Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Katalog CISA KEV zaktualizowany: (v2026.08.19)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w produkcie Oracle WebCenter Portal (komponent: Composer) pozwala atakującemu z niskimi uprawnieniami przez HTTP na przejęcie kontroli nad portalem. Atak może mieć wpływ na inne produkty (zmiana zakresu). Wskaźnik CVSS 9.9.
Podatność w produkcie Oracle WebCenter Portal (komponent: Portlet Services) pozwala nieuwierzytelnionemu atakującemu przez HTTP na nieautoryzowany dostęp do danych oraz spowodowanie zawieszenia lub częstych awarii (DoS). Wskaźnik CVSS 9.1.
Podatność w produkcie Oracle Identity Manager (komponent: OIM Legacy UI) pozwala nieuwierzytelnionemu atakującemu przez HTTP na całkowite przejęcie systemu. Wskaźnik CVSS 9.8.
Podatność w produkcie Oracle Identity Manager (komponent: OIM Legacy UI) pozwala nieuwierzytelnionemu atakującemu przez HTTP na całkowite przejęcie systemu. Wskaźnik CVSS 9.8.
Podatność w produkcie Oracle Identity Manager (komponent: OIM Legacy UI) pozwala atakującemu z niskimi uprawnieniami przez HTTP na całkowite przejęcie systemu. Atak może mieć wpływ na inne produkty (zmiana zakresu). Wskaźnik CVSS 9.9.
Podatność w produkcie Oracle WebLogic Server (komponent: Core) pozwala atakującemu z niskimi uprawnieniami przez T3 lub IIOP na całkowite przejęcie serwera. Atak może mieć wpływ na inne produkty (zmiana zakresu). Wskaźnik CVSS 9.9.
Podatność w produkcie Oracle WebLogic Server (komponent: Core) pozwala nieuwierzytelnionemu atakującemu przez IIOP na całkowite przejęcie serwera. Wskaźnik CVSS 9.8.
Podatność w produkcie Oracle WebLogic Server (komponent: Core) pozwala nieuwierzytelnionemu atakującemu przez T3 lub IIOP na całkowite przejęcie serwera. Wskaźnik CVSS 9.8.
Podatność w produkcie Oracle WebLogic Server (komponent: Core) pozwala nieuwierzytelnionemu atakującemu przez T3 lub IIOP na całkowite przejęcie serwera. Wskaźnik CVSS 9.8.
Podatność w produkcie Oracle Hospitality Simphony (komponent POS) pozwala nieuwierzytelnionemu atakującemu przez sieć HTTP na nieautoryzowane tworzenie, usuwanie lub modyfikację danych oraz wywołanie całkowitej odmowy usługi (DoS). Wskaźnik CVSS wynosi 9.1.
Wada w kamerze TRENDnet TV-IP751WIC (wersja 11.03.03) dotyczy funkcji SystemNetworkChanged, SystemDDNSChanged, SystemEmailChanged, SystemFTPChanged, websCheckRealm, FUN_00432574 i FUN_0043372C w komponencie alphapd. Manipulacja prowadzi do przepełnienia bufora na stosie, co można wykorzystać zdalnie.
FUXA w wersji 1.3.2 i wcześniejszych ma podatność w mechanizmie autoryzacji allowDashboard, która pozwala zdalnemu nieuwierzytelnionemu atakującemu uzyskać podpisany token gościa i uzyskać dostęp do edytora Node-RED oraz API wdrażania przepływów. Atakujący może wdrożyć złośliwe węzły lub wykonać skrypty, przejmując kontrolę nad danymi projektu, konfiguracją i potencjalnie systemem operacyjnym.
W openHiTLS 0.2.0 do 0.3.2 podczas weryfikacji łańcucha certyfikatów X.509, rozszerzenie basic constraints i przetwarzanie flagi CA dla certyfikatów pośrednich są sprawdzane tylko dla certyfikatów v3, a certyfikaty v1/v2 są ignorowane.
ZEBRA, węzeł Zcash napisany w Rust, przed wersją 4.5.0 może zaakceptować blok, który zcashd odrzuca z powodu niedoszacowania licznika operacji podpisu P2SH dla skryptów zawierających wyłączony opcode. Atakujący może wykorzystać to do spowodowania rozłamu łańcucha, co wpływa na integralność i dostępność sieci.
Lemur przed wersją 1.9.2 ma podatność, która pozwala uwierzytelnionym użytkownikom wpływać na adres ACME authority (acme_url) bez skutecznego ograniczenia docelowego po stronie serwera, co umożliwia ataki SSRF na wewnętrzne usługi lub metadane chmury. Dodatkowo istnieje słabość autoryzacji, która może zachować dostęp do kluczy prywatnych po zmianie właściciela.
NVIDIA Triton Inference Server dla systemu Linux zawiera podatność umożliwiającą atakującemu przeprowadzenie ataku typu path traversal, co może prowadzić do odmowy usługi.
Agenci Kraken nie weryfikują pobranych peer-to-peer blobów względem żądanego skrótu SHA-256 przed zapisaniem do pamięci podręcznej, polegając tylko na sumach kontrolnych CRC32. Atakujący mogą podmienić zawartość, zatruwając pamięć podręczną złośliwymi warstwami obrazów kontenerów lub manifestami, które są następnie wykonywane przez inne hosty.
Context7 do wersji 2.1.2 zawiera podatność na wstrzykiwanie promptów, która pozwala atakującym wykonywać złośliwe instrukcje w podłączonych agentach AI poprzez wstrzyknięcie niezdezynfekowanej treści przez funkcję Custom AI Instructions serwowaną przez serwer MCP. Atakujący mogą wykraść poświadczenia z plików środowiskowych i usunąć pliki na maszynie ofiary.
Brak uwierzytelnienia w funkcji początkowej konfiguracji, która pozostaje odsłonięta do pierwszego restartu, w GBIF Integrated Publishing Toolkit przed wersją 3.3.4 pozwala zdalnym uwierzytelnionym atakującym uzyskać kontrolę administracyjną poprzez obejście uwierzytelnienia.
Brak uwierzytelnienia w funkcji początkowej konfiguracji, która pozostaje odsłonięta po zakończeniu konfiguracji, w GBIF Integrated Publishing Toolkit przed wersją 3.3.4 pozwala zdalnym uwierzytelnionym atakującym uzyskać kontrolę administracyjną poprzez obejście uwierzytelnienia.