Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.08.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w Symfony umożliwia atakującemu manipulację zmiennymi środowiskowymi APP_ENV i APP_DEBUG poprzez spreparowany ciąg zapytania, który omija mechanizm ochrony wprowadzony w CVE-2024-50340. Problem wynika z rozbieżności między funkcją parse_str() a web SAPI, co pozwala na przekazanie kontrolowanych flag --env lub --no-debug do skryptu.
W Symfony do wersji 6.4.40, 7.4.12 i 8.0.12, w komponencie OidcTokenHandler, metoda verifyClaims() rejestrowała sprawdzanie aud, iss i exp, ale nie przekazywała obowiązkowej listy roszczeń do ClaimCheckerManager::check(). Umożliwiało to pominięcie weryfikacji tych kluczowych roszczeń w poprawnie podpisanym JWT.
Podatność w Symfony X509Authenticator pozwala atakującemu z zaufanym certyfikatem na podszycie się pod ofiarę poprzez umieszczenie emailAddress= w innej wartości RDN, np. CN, z powodu niezabezpieczonego wyrażenia regularnego.
Użycie po zwolnieniu (use-after-free) w Windows VMSwitch umożliwia autoryzowanemu atakującemu podniesienie uprawnień przez sieć.
Użycie niezainicjalizowanego zasobu w Windows RDP umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
Wyścig (race condition) w sterowniku sieciowym Windows Server umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
Podatność przepełnienia bufora sterty w serwerze DHCP systemu Windows umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu w sieci.
Podatność w Microsoft Dynamics NAV polegająca na deserializacji niezaufanych danych, która pozwala nieautoryzowanemu atakującemu na zdalne wykonanie kodu przez sieć.
Podatność w Microsoft Office SharePoint umożliwia nieautoryzowanemu atakującemu ominięcie mechanizmu zabezpieczeń przez sieć z powodu słabego uwierzytelniania.
Minecraft Bedrock Dedicated Server ma przepełnienie bufora sterty (heap-based buffer overflow). Nieautoryzowany atakujący może zdalnie wykonać kod na serwerze.
Przepełnienie bufora sterty w serwerze DHCP systemu Windows umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
Przepełnienie bufora sterty (heap-based buffer overflow) w Windows Message Queuing umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
Przepełnienie bufora sterty w Windows GDI+ umożliwia nieautoryzowanemu atakującemu zdalne wykonanie kodu przez sieć.
Podatność w bibliotece Mojolicious dla Perla (wersje od 4.59 do 9.48) ujawnia stabilną reprezentację tokena CSRF sesji, co umożliwia atak BREACH. Token jest generowany raz na sesję i zwracany w ukrytym polu `csrf_token`, a gdy odpowiedź zawiera dane kontrolowane przez atakującego i jest kompresowana gzip, możliwe jest odtworzenie tokena.
W bibliotece sigstore-js przed wersją 0.7.1 funkcja getRegistryCredentials() odczytuje dane uwierzytelniające z pliku konfiguracyjnego Dockera i wybiera wpis na podstawie tego, czy skonfigurowany klucz auth zawiera docelowy ciąg rejestru. Ponieważ jest to dopasowanie podciągu, a nie dokładne dopasowanie hosta, dane uwierzytelniające skonfigurowane dla jednego rejestru mogą zostać wybrane i przesłane do innego rejestru, którego nazwa hosta ma relację podciągu ze skonfigurowanym kluczem auth.
Podatność w Microsoft Office SharePoint umożliwia deserializację niezaufanych danych, co pozwala nieautoryzowanemu atakującemu na zdalne wykonanie kodu przez sieć.
Podatność typu cross-site scripting (XSS) w Microsoft Exchange Server umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku polegającego na fałszowaniu treści w sieci. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
Przepełnienie bufora sterty w kliencie Remote Desktop umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.
Podatność w SQL Server umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci poprzez deserializację niezaufanych danych.
Podatność w SQL Server umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci poprzez deserializację niezaufanych danych.