Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.06)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku ajax/mobile_main.php. Parametr GET 'id' jest bezpośrednio wstawiany do klauzuli WHERE zapytania SELECT bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych w bazie.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku message.php. Parametry POST 'frm_ticket_id' i 'frm_resp_id' są bezpośrednio wstawiane do klauzul WHERE zapytań SELECT/UPDATE bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku db_loader.php. Parametry POST 'ticketsdb', 'ticketshost', 'ticketsuser', 'ticketspassword' są bezpośrednio wstawiane do argumentów połączenia mysqli i dynamicznego SQL bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Open ISES Tickets przed wersją 3.44.2 zawiera podatność SQL Injection w pliku incs/remotes.inc.php. Wartości takie jak latitude, longitude, callsign, mph, altitude i timestamp, pobierane z zewnętrznych serwisów GPS (InstaMapper, Google Latitude), są łączone w zapytania UPDATE i INSERT bez sanityzacji.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku portal/ajax/list_requests.php. Parametry GET 'sort' i 'dir' są bezpośrednio wstawiane do klauzuli ORDER BY zapytania SELECT bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku ajax/sit_incidents.php. Parametr GET 'offset' jest bezpośrednio wstawiany do klauzuli LIMIT zapytania SELECT bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku ajax/fullsit_incidents.php. Parametr GET 'offset' jest bezpośrednio wstawiany do klauzuli LIMIT zapytania SELECT bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Podatność SQL Injection w Open ISES Tickets przed wersją 3.44.2 występuje w pliku tables.php. Parametry POST 'tablename', 'indexname', 'sortby' są bezpośrednio wstawiane do identyfikatorów tabel/kolumn w dynamicznie konstruowanych zapytaniach SELECT/UPDATE/DELETE bez sanityzacji, co pozwala uwierzytelnionym atakującym na odczyt, modyfikację lub zniszczenie danych.
Agent ConnectWise Automate nie w pełni weryfikuje autentyczność komponentów uzyskanych podczas ładowania wtyczek i operacji samodzielnej aktualizacji. Problem ten został rozwiązany w Automate 2026.5.
Podatność typu time-of-check time-of-use w agencie Apex One/SEP umożliwia lokalnemu atakującemu eskalację uprawnień. Atak wymaga wcześniejszego uzyskania możliwości wykonania kodu o niskich uprawnieniach.
Podatność walidacji pochodzenia w agencie Apex One/SEP może pozwolić lokalnemu atakującemu na eskalację uprawnień. Podobna do CVE-2026-45206, ale dotyczy innego mechanizmu komunikacji ochrony procesów. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach.
Podatność walidacji pochodzenia w agencie Apex One/SEP może pozwolić lokalnemu atakującemu na eskalację uprawnień. Podobna do CVE-2026-45207, ale dotyczy innego mechanizmu komunikacji ochrony procesów. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach.
Podatność walidacji pochodzenia w agencie Apex One/SEP może pozwolić lokalnemu atakującemu na eskalację uprawnień. Podobna do CVE-2026-34927, ale dotyczy innego mechanizmu ochrony procesów. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach.
Podatność walidacji pochodzenia w agencie Apex One/SEP może pozwolić lokalnemu atakującemu na eskalację uprawnień. Jest podobna do CVE-2026-34927, ale występuje w innym mechanizmie komunikacji międzyprocesowej. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach.
Podatność w agentach Apex One/SEP umożliwia lokalnemu atakującemu eskalację uprawnień poprzez obejście walidacji pochodzenia w mechanizmie komunikacji przez nazwany potok. Atak wymaga wcześniejszego uzyskania możliwości wykonania kodu o niskich uprawnieniach.
Podatność walidacji pochodzenia w agencie Apex One/SEP może pozwolić lokalnemu atakującemu na eskalację uprawnień. Atakujący musi najpierw uzyskać możliwość wykonania kodu o niskich uprawnieniach.
Podatność na zdalne wykonanie kodu w produktach Zohocorp ManageEngine: ADSelfService Plus przed 6525, DataSecurity Plus przed 6264 i RecoveryManager Plus przed 6313. Błąd wynika z wadliwej zależności zewnętrznej.
Podatność błędu walidacji źródła w mechanizmie samoobrony agenta Trend Micro Apex One (mac) umożliwia lokalnemu atakującemu eskalację uprawnień. Atak wymaga wcześniejszego wykonania kodu o niskich uprawnieniach.
Podatność typu time-of-check time-of-use w mechanizmie pamięci podręcznej agenta Trend Micro Apex One (Mac) umożliwia lokalnemu atakującemu eskalację uprawnień. Wymagana jest wcześniejsza zdolność wykonania kodu o niskich uprawnieniach. Poprawki dostępne w aktualizacjach ActiveUpdate/SaaS z połowy/końca 2025.
Podatność typu time-of-check time-of-use w weryfikacji sygnatury usługi iCore agenta Trend Micro Apex One (mac) umożliwia lokalnemu atakującemu eskalację uprawnień. Atak wymaga wcześniejszego wykonania kodu o niskich uprawnieniach.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS