Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.11.03)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Nieokreślona podatność w Oracle Java SE 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez nieznane wektory związane z 2D.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność i integralność danych poprzez nieznane wektory związane z bibliotekami.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60; Java SE Embedded 8u51; oraz JRockit R28.3.7 pozwala zdalnym atakującym wpłynąć na dostępność poprzez wektory związane z JAXP. Jest to inna podatność niż CVE-2015-4893 i CVE-2015-4911.
Nieokreślona podatność w Oracle Java SE 6u101, 7u85 i 8u60 oraz Java SE Embedded 8u51 pozwala zdalnym atakującym wpłynąć na poufność poprzez wektory związane z JGSS.
W aplikacji Wind Farm Portal w systemie Nordex Control 2 (NC2) SCADA 16 i wcześniejszych występuje wiele podatności typu cross-site scripting (XSS), które pozwalają zdalnym atakującym na wstrzykiwanie dowolnych skryptów webowych lub HTML za pomocą nieokreślonych wektorów.
Luka w zabezpieczeniach wielu wersji systemu Windows, pakietu Office i Internet Explorera pozwala zdalnym atakującym na podniesienie uprawnień i uzyskanie poufnych informacji poprzez specjalnie spreparowany parametr wiersza poleceń przekazany do aplikacji Office lub Notatnika. Demonstrowano przejście z niskiej integralności do średniej integralności. Podatność znana jako "Unsafe Command Line Parameter Passing Vulnerability".
Podatność w Mount Manager w wielu wersjach Microsoft Windows polega na nieprawidłowej obsłudze dowiązań symbolicznych, co pozwala fizycznie bliskim atakującym na wykonanie dowolnego kodu poprzez podłączenie spreparowanego urządzenia USB. Podatność znana jest jako "Mount Manager Elevation of Privilege Vulnerability".
W Oracle Java SE w wersjach 6u95, 7u80 i 8u45 występuje nieokreślona podatność związana z komponentem Deployment. Umożliwia ona lokalnym użytkownikom wpłynięcie na poufność, integralność i dostępność za pomocą nieznanych wektorów ataku.
Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45, JavaFX 2.2.80 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez nieznane wektory związane z modułem 2D.
Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z JMX.
Nieokreślona podatność w Oracle Java SE 6u95, 7u80 i 8u45, JRockit R28.3.6 oraz Java SE Embedded 7u75 i 8u33 pozwala zdalnym atakującym wpłynąć na poufność danych poprzez wektory związane z JCE.
Implementacja Expression Language (EL) w Apache Tomcat 6.x przed 6.0.44, 7.x przed 7.0.58 i 8.x przed 8.0.16 nie uwzględnia należycie możliwości istnienia dostępnego interfejsu zaimplementowanego przez niedostępną klasę. Pozwala to atakującym na obejście mechanizmu ochrony SecurityManager poprzez aplikację internetową wykorzystującą nieprawidłowe uprawnienia podczas oceny EL.
Plik java/org/apache/coyote/http11/filters/ChunkedInputFilter.java w Apache Tomcat 6.x przed 6.0.42, 7.x przed 7.0.55 i 8.x przed 8.0.9 nieprawidłowo obsługuje próby kontynuowania odczytu danych po wystąpieniu błędu. Umożliwia to zdalnym atakującym przeprowadzanie ataków typu HTTP request smuggling lub powodowanie odmowy usługi poprzez strumieniowanie danych z nieprawidłowym kodowaniem chunked transfer coding.
Microsoft Internet Explorer w wersjach od 9 do 11 pozwala zdalnym atakującym obejść mechanizm ochrony ASLR poprzez specjalnie spreparowaną stronę internetową. Podatność znana jest jako "Internet Explorer ASLR Bypass Vulnerability".
Podatność na atak typu Cross-Site Scripting (XSS) w pliku client.inc.php w osTicket przed wersją 1.9.5.1. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr lang.
Podatność na skryptowanie między witrynami (XSS) w pliku upload/scp/tickets.php w osTicket przed wersją 1.9.5. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr status w akcji wyszukiwania.
Funkcja ssl3_get_key_exchange w s3_clnt.c w OpenSSL przed 0.9.8zd, 1.0.0 przed 1.0.0p i 1.0.1 przed 1.0.1k pozwala zdalnym serwerom SSL przeprowadzać ataki downgrade RSA-to-EXPORT_RSA i ułatwiać brute-force deszyfrowanie poprzez oferowanie słabego efemerycznego klucza RSA w niezgodnej roli, co jest związane z problemem "FREAK". Uwaga: zakres tego CVE obejmuje tylko kod klienta oparty na OpenSSL, a nie problemy EXPORT_RSA związane z serwerami lub innymi implementacjami TLS.
W Firebirdzie przed wersjami 2.1.7 i 2.5.3 SU1 funkcja xdr_status_vector pozwala zdalnym atakującym wywołać odmowę usługi (przez dereferencję wskaźnika NULL, błąd segmentacji i awarię) za pomocą akcji op_response z niepustym statusem.
Podatność nieograniczonego przesyłania plików w Apache Tomcat 7.x przed 7.0.40, w pewnych sytuacjach związanych z przestarzałym kodem java.io.File i niestandardową konfiguracją JMX, pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesłanie i dostęp do pliku JSP.
W osTicket przed wersją 1.9.2 odkryto wiele podatności na ataki XSS. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez pole numeru telefonu w open.php lub pola passwd1, passwd2 oraz parametr do w account.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS