Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W jądrze Linux przed wersją 5.2.10 występuje błąd use-after-free, który może być wywołany przez złośliwe urządzenie USB w sterowniku drivers/usb/class/cdc-acm.c.
W pakiecie shadow występuje warunek wyścigu TOCTOU (time-of-check time-of-use) podczas kopiowania i usuwania drzew katalogów. Luka może prowadzić do nieprzewidzianych skutków, takich jak modyfikacja plików w trakcie operacji.
Funkcja relay_open w pliku kernel/relay.c w jądrze Linux do wersji 5.4.1 pozwala lokalnym użytkownikom wywołać odmowę usługi (np. zablokowanie relay) poprzez wywołanie wyniku NULL z alloc_percpu.
W MISP 2.4.118 w pliku app/Controller/TagsController.php użytkownicy mogą obejść zamierzone ograniczenia dotyczące tagowania danych.
SQLite w wersji 3.30.1 nieprawidłowo obsługuje pExpr->y.pTab, co jest widoczne w przypadku TK_COLUMN w funkcji sqlite3ExprCodeTarget w pliku expr.c.
Błąd zapisu poza granicami bufora w JavaScript w Google Chrome przed 73.0.3683.86 pozwalał zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
Moduł Quick Tabs dla Drupal ma podatność na XSS w wersjach 6.x-2.x przed 6.x-2.1, 6.x-3.x przed 6.x-3.1 oraz 7.x-3.x przed 7.x-3.3. Umożliwia to atakującemu wstrzyknięcie skryptów po stronie klienta.
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
W jądrze Linuksa przed wersją 5.3.8 występują wycieki pamięci w funkcjach *clock_source_create() w katalogu drivers/gpu/drm/amd/display/dc, co pozwala atakującym na spowodowanie denial of service (zużycie pamięci). Dotyczy to wielu funkcji, takich jak dce112_clock_source_create(), dce100_clock_source_create(), dcn10_clock_source_create(), dcn20_clock_source_create(), dce120_clock_source_create(), dce110_clock_source_create() i dce80_clock_source_create().
W jądrze Linux do wersji 5.3.11 występują wycieki pamięci w funkcjach *create_resource_pool() w sterownikach GPU AMD (drivers/gpu/drm/amd/display/dc). Atakujący mogą wykorzystać te wycieki do spowodowania odmowy usługi poprzez nadmierne zużycie pamięci.
Wyciek pamięci w funkcji nfp_flower_spawn_vnic_reprs() w sterowniku drivers/net/ethernet/netronome/nfp/flower/main.c w jądrze Linux przed wersją 5.3.4 pozwala atakującym wywołać odmowę usługi poprzez wyczerpanie pamięci.
Cztery wycieki pamięci w funkcji nfp_flower_spawn_phy_reprs() w drivers/net/ethernet/netronome/nfp/flower/main.c w jądrze Linux przed wersją 5.3.4 pozwalają atakującym wywołać odmowę usługi poprzez wyczerpanie pamięci.
Wyciek pamięci w funkcji bfad_im_get_stats() w pliku drivers/scsi/bfa/bfad_attr.c w jądrze Linux do wersji 5.3.11 pozwala atakującym wywołać odmowę usługi (zużycie pamięci) poprzez wywołanie awarii bfa_port_get_stats().
Wyciek pamięci w funkcji cx23888_ir_probe() w pliku drivers/media/pci/cx23885/cx23888-ir.c w jądrze Linux do wersji 5.3.11 pozwala atakującym wywołać odmowę usługi (zużycie pamięci) poprzez wywołanie awarii kfifo_alloc().
Niewystarczająca kontrola dostępu w oprogramowaniu systemowym dla procesorów Intel Xeon Scalable (1. i 2. generacji) oraz Intel Xeon D Family może umożliwić uprzywilejowanemu użytkownikowi eskalację uprawnień, odmowę usługi i/lub ujawnienie informacji poprzez dostęp lokalny.
W tesseract 2.03 i 2.04 atakujący może nadpisać dowolny plik użytkownika, odgadując PID i tworząc dowiązanie do pliku użytkownika. Podatność wynika z niewystarczającego zabezpieczenia operacji na plikach tymczasowych.
W Hibernate-Validator znaleziono podatność. Adnotacja walidatora SafeHtml nie sanitizuje poprawnie danych zawierających potencjalnie złośliwy kod w komentarzach HTML i instrukcjach. Ta podatność może prowadzić do ataku XSS.
W jądrze Linux przed wersją 5.3.5 występuje wyciek pamięci w funkcji ql_alloc_large_buffers() w sterowniku qla3xxx. Lokalny użytkownik może wywołać awarię pci_dma_mapping_error(), co prowadzi do nadmiernego zużycia pamięci i odmowy usługi.
Podatność w komponencie filtrowania ruchu HTTP w oprogramowaniu Cisco Firepower Threat Defense, FirePOWER Services dla ASA i Firepower Management Center umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń filtrujących. Wynika to z nieprawidłowej obsługi żądań HTTP, w tym przez połączenia HTTPS, zawierających złośliwie spreparowane nagłówki. Atakujący może wysyłać złośliwe żądania, aby ominąć filtrowanie i dostarczyć złośliwe treści do chronionych systemów.
Podatność w funkcji normalizacji Cisco Firepower Threat Defense Software, Cisco FirePOWER Services Software dla ASA i Cisco Firepower Management Center Software umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie zabezpieczeń filtrujących. Problem wynika z niewystarczającej normalizacji ładunku tekstowego. Atakujący może wykorzystać tę podatność, wysyłając ruch zawierający specjalnie zaciemnione ładunki przez urządzenie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS