Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.27)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie zamówień restauracyjnych w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem tabidNoti w pliku /order.php prowadzi do wstrzykiwania SQL, co może być wykorzystane przez atakującego zdalnie.
W systemie płatności za szkołę w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanej części pliku /branch.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
Aplikacja ArchiverSpaApi w technologii ASP.NET używa twardo zakodowanego klucza do podpisywania JWT. Nieautoryzowany zdalny atakujący może wygenerować i użyć weryfikowalnego tokena JWT do uzyskania dostępu do chronionych punktów końcowych URL ArchiverSpaApi.
W systemie płatności za szkołę w wersji 1.0 zidentyfikowano krytyczną podatność. Problem dotyczy nieznanego przetwarzania pliku /datatable.php, gdzie manipulacja argumentem sSortDir_0 prowadzi do wstrzyknięcia SQL.
Podatność umożliwia dowolne zapisywanie w podpisanym przez Microsoft firmware UEFI, co prowadzi do wykonania nieautoryzowanego oprogramowania. Atakujący może kontrolować wartość, co skutkuje dowolnymi zapisami w pamięci, w tym modyfikacją krytycznych ustawień firmware przechowywanych w NVRAM.
MicroDicom DICOM Viewer ma podatność na zapis poza granicami, co może umożliwić zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, poprzez odwiedzenie złośliwej strony internetowej lub otwarcie złośliwego pliku DICOM lokalnie.
W Microsoft Office występuje podatność typu use after free, która pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.
W Microsoft Office Outlook występuje podatność, która pozwala autoryzowanemu atakującemu na lokalne wykonanie kodu poprzez wykorzystanie ciągu '.../...//'.
W Microsoft Office występuje podatność związana z dostępem do zasobów przy użyciu niekompatybilnego typu ('type confusion'), co pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.
W Microsoft Office występuje podatność typu use after free, która pozwala nieautoryzowanemu atakującemu na lokalne wykonanie kodu.
W Microsoft Office występuje przepełnienie bufora oparte na stercie, które może zostać wykorzystane przez nieautoryzowanego atakującego do lokalnego wykonania kodu.
Nieprawidłowa kontrola dostępu w Windows SMB umożliwia autoryzowanemu atakującemu eskalację uprawnień przez sieć.
Zewnętrzna kontrola nazwy pliku lub ścieżki w plikach skrótów internetowych (Internet Shortcut Files) umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.
Podatność polegająca na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach systemu operacyjnego (wstrzyknięcie poleceń) w Fortinet FortiADC w wielu wersjach. Umożliwia atakującemu wykonanie nieautoryzowanego kodu lub poleceń.
Nieprawidłowa kontrola dostępu do rejestrów w ASP może umożliwić uprzywilejowanemu atakującemu nieautoryzowany dostęp do rejestrów Crypto Co-Processor (CCP) z architektury x86. Może to prowadzić do utraty kontroli nad wskaźnikiem/indeksem klucza kryptograficznego, co skutkuje utratą integralności lub poufności.
Keyoti SearchUnit w wersjach przed 9.0.0 jest podatny na atak typu XML External Entity (XXE). Atakujący, który zmusi podatny host SearchUnit do przetwarzania złośliwie skonstruowanych plików XML i/lub DTD, może wykradać niektóre pliki z systemu operacyjnego.
Zidentyfikowano podatność w urządzeniach RUGGEDCOM ROX MX5000, ROX MX5000RE, ROX RX1400, ROX RX1500, ROX RX1501, ROX RX1510, ROX RX1511, ROX RX1512, ROX RX1524, ROX RX1536 oraz ROX RX5000 (wszystkie wersje < V2.16.5). Narzędzie 'Log Viewers' w interfejsie webowym tych urządzeń jest podatne na wstrzykiwanie poleceń z powodu braku sanitacji wejścia po stronie serwera.
Podatność w interfejsach API HPE Aruba Networking Private 5G Core może potencjalnie ujawniać wrażliwe informacje nieautoryzowanym użytkownikom. Udana eksploitacja może umożliwić atakującemu iteracyjne przeszukiwanie systemu plików i pobieranie chronionych plików systemowych zawierających wrażliwe dane.
Podatność typu Cross-Site Request Forgery (CSRF) w frameworku uxper Civi Framework umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji Civi Framework od n/a do 2.1.6 włącznie.
W podatności CVE-2025-49454 występuje niewłaściwa kontrola nazwy pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji TinySalt od n/a do poniżej 3.10.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS