Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W oprogramowaniu InsydeH2O Kernel 5.0 do 5.4 przed określonymi wersjami występuje przepełnienie bufora na stosie w sterowniku UEFI DisplayTypeDxe DXE, co może prowadzić do wykonania dowolnego kodu.
Podatność na odbity atak XSS w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych. Atakujący może wstrzyknąć złośliwy kod JavaScript, który jest odzwierciedlany na stronie bez odpowiedniej sanityzacji.
Podatność SQL Injection w PrinterLogic Web Stack w wersjach 19.1.1.13 SP9 i niższych umożliwia atakującemu wstrzyknięcie złośliwego kodu SQL, co może prowadzić do nieautoryzowanego dostępu do dodatkowych rekordów audytu.
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
W oprogramowaniu HP Support Assistant zidentyfikowano potencjalną podatność umożliwiającą dowolne usuwanie plików. Podatność może zostać wykorzystana przez atakującego do usunięcia plików na systemie ofiary.
Błąd podwójnego zwolnienia (double free) w funkcji packet_set_ring() w net/packet/af_packet.c może być wykorzystany przez lokalnego użytkownika poprzez spreparowane wywołania systemowe do eskalacji uprawnień lub odmowy usługi. Zaleca się aktualizację jądra poza wersje, których dotyczy problem, lub przebudowanie po commicie ec6af094ea28f0f2dda1a6a33b14cd57e36a9755.
Parser XML Apache Xerces Java (XercesJ) w wersji 2.12.1 i wcześniejszych jest podatny na atak polegający na nieskończonej pętli podczas przetwarzania specjalnie spreparowanych dokumentów XML. Może to prowadzić do długotrwałego zużycia zasobów systemowych.
W weryfikatorze eBPF jądra Linux wykryto warunek wyścigu między bpf_map_update_elem a bpf_map_freeze z powodu braku blokady w kernel/bpf/syscall.c. Lokalny użytkownik z uprawnieniami cap_sys_admin lub cap_bpf może zmodyfikować zamrożoną przestrzeń adresową mapy. Podatność dotyczy wersji jądra przed 5.16 rc2.
Biblioteka node-fetch jest podatna na ujawnienie wrażliwych informacji nieuprawnionemu podmiotowi. Podatność pozwala na wyciek danych, do których dostęp powinien być ograniczony.
W GCC v12.0 wykryto niekontrolowaną rekurencję w komponencie libiberty/rust-demangle.c, co pozwala atakującemu spowodować odmowę usługi (DoS) poprzez nadmierne zużycie CPU i pamięci.
vim jest podatny na przepełnienie bufora oparte na stercie (heap-based buffer overflow). Szczegóły techniczne nie zostały podane w opisie.
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
W wersji 1.4.0 Trusted Firmware-M (TF-M) przy użyciu profilu Small występuje nieprawidłowa kontrola dostępu. NSPE może uzyskać dostęp do zabezpieczonego klucza (przechowywanego przez usługę Crypto) jedynie na podstawie znajomości jego identyfikatora klucza.
W sterowniku NPU występuje nieprawidłowe sprawdzanie lub obsługa warunków wyjątkowych. Luka pozwala na dowolny zapis do pamięci i wykonanie kodu.
Ekran logowania web Serv-U do uwierzytelniania LDAP zezwalał na znaki, które nie były wystarczająco oczyszczane. SolarWinds zaktualizował mechanizm wejściowy, aby wykonywać dodatkową walidację i sanityzację.
Fluxbb w wersji 1.4.12 zawiera podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do stron wyświetlanych innym użytkownikom.
W Opmantek Open-AudIT 4.2.0 wykryto problem z ujawnieniem informacji. Uwierzytelniony atakujący może odczytać pliki poza ograniczonym katalogiem.
Ghostscript GhostPDL w wersjach od 9.50 do 9.54.0 zawiera przepełnienie bufora na stercie w funkcji sampled_data_finish (wywoływanej z sampled_data_continue i interp). Luka może prowadzić do awarii lub wykonania dowolnego kodu.
Wersje Apache Log4j2 od 2.0-beta7 do 2.17.0 (z wyłączeniem poprawek bezpieczeństwa 2.3.2 i 2.12.4) są podatne na atak zdalnego wykonania kodu (RCE) przy użyciu konfiguracji z JDBC Appender i źródłem danych JNDI LDAP, gdy atakujący ma kontrolę nad docelowym serwerem LDAP. Problem został rozwiązany poprzez ograniczenie nazw źródeł danych JNDI do protokołu java w wersjach Log4j2 2.17.1, 2.12.4 i 2.3.2.
W systemie S-CMS Government Station Building System v5.0 wykryto podatność na atak XSS w pliku /function/booksave.php. Umożliwia ona wstrzyknięcie złośliwego skryptu po stronie klienta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS