Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W MISP przed wersją 2.4.146 występuje podatność na przechowywane XSS w widoku grup udostępniania, zlokalizowanym w pliku app/View/SharingGroups/view.ctp.
Podatność XSS w Chevereto przed wersją 3.17.1 umożliwia atakującemu wstrzyknięcie złośliwego skryptu poprzez tytuł obrazu podczas przesyłania pliku.
W oprogramowaniu sprzętowym TrippLite SU2200RTXL2Ua w wersji 12.04.0055 odkryto podatność na trwały atak XSS w skrypcie /Forms/device_vars_1. Umożliwia ona uwierzytelnionym atakującym wstrzyknięcie złośliwego skryptu poprzez spreparowane żądanie POST, co prowadzi do kradzieży danych innych użytkowników.
W podsystemie vgacon w jądrze Linux przed wersją 5.8.10 nieprawidłowo obsługiwane jest przewijanie ekranu (software scrollback). Występuje odczyt poza zakresem w funkcji vgacon_scrolldelta.
W pliku kernel/bpf/verifier.c w jądrze Linux przed wersją 5.12.13 gałąź może zostać błędnie przewidziana (np. z powodu pomylenia typów), co pozwala nieuprzywilejowanemu programowi BPF odczytać dowolne lokalizacje pamięci poprzez atak kanałem bocznym. Luka znana jest jako CID-9183671af6db.
W Typesetter 5.1 wykryto podatność na atak XSS (Cross-Site Scripting) poprzez pola className i Description w skrypcie index.php/Admin/Classes. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
W MetInfo 7.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS) poprzez parametr gourl w pliku login.php. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony logowania.
Router D-Link DIR-2640-US w wersji 1.01B04 przechowuje hasło systemowe w postaci jawnego tekstu. Urządzenie nie korzysta z zarządzania użytkownikami systemu Linux, a hasła są identyczne dla wszystkich urządzeń i nie mogą być zmienione przez zwykłych użytkowników. Atakujący może łatwo zalogować się przez port szeregowy i uzyskać uprawnienia root.
W jądrze InsydeH2O 5.x niektóre sterowniki SMM nieprawidłowo walidują parametry CommBuffer i CommBufferSize, co pozwala wywołującym na uszkodzenie pamięci firmware lub systemu operacyjnego. Dotyczy sterowników AhciBusDxe, IdeBusDxe, NvmExpressDxe, SdHostDriverDxe i SdMmcDeviceDxe.
Podatność w konsoli zarządzania SafeNet KeySecure 8.12.0 umożliwia ataki polegające na dzieleniu odpowiedzi HTTP. Zdalny atakujący może wykorzystać specjalnie spreparowany URL, aby po kliknięciu przez ofiarę serwer zwrócił rozdzieloną odpowiedź.
Plik net/can/bcm.c w jądrze Linux do wersji 5.12.10 pozwala lokalnym użytkownikom na uzyskanie poufnych informacji z pamięci stosu jądra, ponieważ części struktury danych nie są inicjalizowane. Luka dotyczy niezinicjalizowanej pamięci ujawnianej lokalnym użytkownikom.
curl w wersjach od 7.61.0 do 7.76.1 cierpi na ujawnienie elementu danych do niewłaściwej sesji z powodu błędu w kodzie dla CURLOPT_SSL_CIPHER_LIST, gdy libcurl jest zbudowany z użyciem biblioteki TLS Schannel. Wybrany zestaw szyfrów był przechowywany w pojedynczej zmiennej "static" w bibliotece, co ma zaskakujący efekt uboczny: jeśli aplikacja ustawi wiele równoczesnych transferów, ostatni, który ustawi szyfry, przypadkowo kontroluje zestaw używany przez wszystkie transfery. W najgorszym przypadku znacznie osłabia to bezpieczeństwo transportu.
Podatność CWE-552 w oprogramowaniu sprzętowym Easergy T300 w wersji V2.7.1 i starszych umożliwia nieautoryzowanym atakującym dostęp do plików i katalogów systemowych. Brak odpowiednich ograniczeń dostępu pozwala na ujawnienie poufnych danych.
W urządzeniach PowerLogic PM55xx, PM8ECC, EGX100 i EGX300 występuje podatność CWE-287: Niewłaściwa autoryzacja, która może prowadzić do utraty łączności z urządzeniem za pośrednictwem protokołu Modbus TCP, gdy atakujący wyśle specjalnie przygotowane żądanie HTTP.
Gdy włączone są żądania do sieci wewnętrznej dla webhooków, podatność typu server-side request forgery w GitLab (wszystkie wersje od 10.5) może być wykorzystana przez nieuwierzytelnionego atakującego, nawet gdy rejestracja jest wyłączona.
Warunek wyścigu w sterowniku ładowarki MFC przed wydaniem SMR MAY-2021 Release 1 pozwala lokalnym atakującym obejść sprawdzanie podpisu, jeśli uprawnienia radiowe są przejęte.
Podatność use after free wynikająca z warunku wyścigu w sterowniku ładowarki MFC przed wydaniem SMR MAY-2021 Release 1 pozwala na dowolny zapis, jeśli uprawnienia radiowe są przejęte.
OpenPLC ScadaBR do wersji 0.9.1 na Linuksie i do 1.12.4 na Windowsie pozwala na przechowywany XSS poprzez system_settings.shtm.
Podatność na atak typu Cross-site scripting (XSS) w module Portal Workflow w Liferay DXP, występująca na stronie edycji procesu. Umożliwia zdalnemu atakującemu wstrzyknięcie dowolnego skryptu lub kodu HTML poprzez parametr currentURL.
Nieprawidłowa inicjalizacja w oprogramowaniu układowym (firmware) dla niektórych procesorów Intel może umożliwić uprzywilejowanemu użytkownikowi potencjalne wywołanie odmowy usługi (denial of service) poprzez lokalny dostęp.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS