Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Komponent BC-BMT-BPM-DSK w SAP NetWeaver AS JAVA 7.5 pozwala zdalnym uwierzytelnionym użytkownikom przeprowadzać ataki XML External Entity (XXE) poprzez URI sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn (SAP Security Note 2296909).
libxml2 w wersji 2.9.4 i wcześniejszych, używany w XMLSec 1.2.23 i wcześniejszych oraz w innych produktach, nie oferuje flagi bezpośrednio wskazującej, że bieżący dokument może być odczytywany, ale inne pliki nie mogą być otwierane, co ułatwia zdalnym atakującym przeprowadzanie ataków XML External Entity (XXE) za pomocą spreparowanego dokumentu.
Microsoft Office 2007 SP3 pozwala zdalnym atakującym wywołać odmowę usługi (zawieszenie aplikacji) za pomocą spreparowanego dokumentu Office.
Podsystem XFS w jądrze Linux do wersji 4.8.2 pozwala lokalnym użytkownikom na wywołanie odmowy usługi (niepowodzenie fdatasync i zawieszenie systemu) poprzez użycie grupy wywołań systemowych vfs w programie trinity, związane z błędem kolejności blokad stron w implementacji seek hole/data w XFS.
Microsoft Internet Explorer 9–11 oraz Internet Messaging API w Windows Vista SP2, Windows Server 2008 SP2/R2 SP1 i Windows 7 SP1 pozwalają zdalnym atakującym ustalić istnienie dowolnych plików za pomocą spreparowanej witryny internetowej (Information Disclosure).
Microsoft Internet Explorer 9 do 11 oraz Microsoft Edge pozwalają zdalnym atakującym na uzyskanie wrażliwych informacji poprzez spreparowaną stronę internetową. Jest to podatność typu ujawnienie informacji.
Makra Visual Basic w Microsoft Office 2007 SP3, 2010 SP2, 2013 SP1 i 2016 eksportują prywatny klucz magazynu certyfikatów podczas operacji zapisu dokumentu, co pozwala atakującym uzyskać poufne informacje.
Wielokrotne podatności typu cross-site scripting (XSS) w funkcji tworzenia szablonów w Malware Information Sharing Platform (MISP) przed wersją 2.3.90 umożliwiają zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML poprzez różne wektory, w tym (1) add.ctp, (2) edit.ctp oraz (3) ajaxification.js.
Jądro systemu Apple iOS przed wersją 9.3.5 pozwala atakującym uzyskać poufne informacje z pamięci za pomocą spreparowanej aplikacji.
Podatność use-after-free w narzędziu bzip2recover w bzip2 1.0.6 pozwala zdalnemu atakującemu na wywołanie awarii (odmowa usługi) poprzez specjalnie spreparowany plik bzip2, związana z blokami kończącymi się przed początkiem bloku.
Microsoft Word 2007 SP3, Office 2010 SP2, Word 2010 SP2, Office Compatibility Pack SP3, Word Viewer, Word Automation Services na SharePoint Server 2010 SP2 i 2013 SP1, Office Web Apps 2010 SP2 oraz Office Web Apps Server 2013 SP1 pozwalają zdalnym atakującym uzyskać poufne informacje z pamięci procesu za pomocą spreparowanego dokumentu Office.
Kodery HTTP i FTP w ImageMagick przed 6.9.3-10 oraz 7.x przed 7.0.1-1 pozwalają zdalnym atakującym przeprowadzać ataki server-side request forgery (SSRF) za pomocą spreparowanego obrazu.
Koder EPHEMERAL w ImageMagick przed 6.9.3-10 oraz 7.x przed 7.0.1-1 pozwala zdalnym atakującym usuwać dowolne pliki za pomocą spreparowanego obrazu.
Xen pozwala użytkownikom systemów gościnnych uzyskać poufne informacje z niezainicjalizowanych obszarów pamięci jądra systemu hosta poprzez nieuwzględnienie bitów kontrolnych dekodowania pamięci i I/O. Luka wynika z niekompletnej poprawki CVE-2015-0777.
Podatność w Microsoft Internet Explorer 9-11 pozwala zdalnemu atakującemu ustalić istnienie plików na systemie ofiary poprzez specjalnie spreparowany kod JavaScript. Podatność znana jest jako "Internet Explorer Information Disclosure Vulnerability".
Wielokrotne podatności na wstrzykiwanie CRLF w pliku session.c w sshd w OpenSSH przed wersją 7.2p2 pozwalają zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących poleceń powłoki za pomocą spreparowanych danych przekazywania X11, związanych z funkcjami (1) do_authenticated1 i (2) session_x11_req.
Podatność typu cross-site scripting (XSS) w serwerze WWW w urządzeniach Rockwell Automation Allen-Bradley CompactLogix 1769-L* przed wersją 28.011+ umożliwia zdalnym atakującym wstrzykiwanie dowolnych skryptów webowych lub HTML za pomocą nieokreślonych wektorów.
Metoda setGlobalContext w Apache Tomcat 7.x przed 7.0.68, 8.x przed 8.0.31 i 9.x przed 9.0.0.M3 nie sprawdza, czy wywołujący ResourceLinkFactory.setGlobalContext są autoryzowani, co pozwala zdalnym uwierzytelnionym użytkownikom obejść ograniczenia SecurityManager i czytać lub zapisywać dowolne dane aplikacji albo powodować odmowę usługi.
Apache Tomcat w wersjach 6.x przed 6.0.45, 7.x przed 7.0.68, 8.x przed 8.0.31 i 9.x przed 9.0.0.M2 nie umieszcza org.apache.catalina.manager.StatusManagerServlet na liście RestrictedServlets.properties, co pozwala uwierzytelnionym zdalnym użytkownikom obejść ograniczenia SecurityManagera i odczytać dowolne żądania HTTP, a w konsekwencji poznać wartości identyfikatorów sesji.
Komponent Mapper w Apache Tomcat w wersjach 6.x przed 6.0.45, 7.x przed 7.0.68, 8.x przed 8.0.30 i 9.x przed 9.0.0.M2 przetwarza przekierowania przed uwzględnieniem ograniczeń bezpieczeństwa i filtrów. Pozwala to zdalnym atakującym na określenie istnienia katalogu poprzez URL bez kończącego ukośnika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS