Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w bibliotece Windows DWM Core Library umożliwia podniesienie uprawnień (Elevation of Privilege). Szczegóły techniczne nie są ujawnione w opisie.
Podatność w platformie Windows MSHTML umożliwia obejście funkcji zabezpieczeń (Security Feature Bypass). Szczegóły techniczne nie są ujawnione w opisie.
W produktach GE HealthCare EchoPAC występuje niewystarczająca ochrona danych uwierzytelniających. To może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji.
Podatność typu path traversal w funkcji 'getAllFolderContents' komponentu Common Service Desktop urządzenia ultrasonograficznego GE HealthCare.
W silniku V8 w przeglądarce Google Chrome przed wersją 124.0.6367.207 występuje podatność polegająca na zapisie poza granicami pamięci (out-of-bounds write). Zdalny atakujący może wykorzystać tę podatność poprzez spreparowaną stronę HTML, co może prowadzić do zapisu poza pamięcią. (Wysoka dotkliwość wg Chromium).
Rozszerzenie przeglądarki Hoppscotch ma krytyczną podatność, która pozwala na wysyłanie wiadomości do rozszerzenia z nieautoryzowanych źródeł. Z powodu pominięcia istotnego sprawdzenia listy źródeł, rozszerzenie przetwarzało te wiadomości, co nie powinno mieć miejsca.
Zidentyfikowano podatność w Tecnomatix Plant Simulation V2302 (wszystkie wersje < V2302.0011). Aplikacja zawiera błąd zapisu poza przydzielonym buforem podczas analizy specjalnie przygotowanego pliku MODEL, co może umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu.
Zidentyfikowano podatność w systemach CPCI85 Central Processing/Communication (wszystkie wersje < V5.30) oraz SICORE Base system (wszystkie wersje < V1.3.0). Interfejs webowy dotkniętych urządzeń jest podatny na wstrzyknięcie poleceń z powodu braku sanitacji danych wejściowych po stronie serwera.
Zidentyfikowano podatność w urządzeniach CPC80, CPCI85, CPCX26, ETA4, ETA5 oraz PCCX26, które mają niewłaściwe zakończenie null podczas analizy określonego nagłówka HTTP. Może to umożliwić atakującemu wykonanie kodu w kontekście bieżącego procesu lub prowadzić do stanu odmowy usługi.
Zidentyfikowano podatność w SIMATIC RTLS Locating Manager, która dotyczy wszystkich wersji poniżej V3.0.1.1. Klienci SIMATIC RTLS Locating Manager nie sprawdzają poprawnie integralności plików aktualizacji, co może umożliwić nieautoryzowanemu atakującemu modyfikację plików aktualizacji w tranzycie.
W urządzeniach ultrasonograficznych GE HealthCare zidentyfikowano podatności na wstrzykiwanie poleceń systemowych. Atakujący może wykorzystać te luki do wykonania nieautoryzowanych poleceń w systemie operacyjnym urządzenia.
Podatność CVE-2024-1486 dotyczy podniesienia uprawnień w urządzeniach ultrasonograficznych GE HealthCare z powodu błędnie skonfigurowanej listy kontroli dostępu. Może to umożliwić nieautoryzowanym użytkownikom uzyskanie wyższych uprawnień w systemie.
W systemie Contemporary Control System BASrouter BACnet BASRT-B w wersji 2.7.2 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu komponentu Application Protocol Data Unit i prowadzi do odmowy usługi, którą można zainicjować zdalnie.
W podatności CVE-2024-4747 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie Propovoice CRM, co prowadzi do możliwości ataku typu Stored XSS. Problem dotyczy wersji Propovoice CRM od n/a do 1.7.6.2.
Wtyczka Breakdance dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.7.1 poprzez dane meta postów. Problem wynika z przechowywania niestandardowych danych w metadanych bez prefiksu podkreślenia.
Wszystkie wersje EnterpriseDB Postgres Advanced Server (EPAS) od 15.0 do 15.7.0 oraz od 16.0 do 16.3.0 mogą pozwalać użytkownikom korzystającym z edbldr na obejście uprawnień ról z pg_read_server_files. Może to umożliwić użytkownikom o niskich uprawnieniach odczyt plików, do których normalnie nie mieliby dostępu.
Wtyczka XML Sitemap & Google News dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do i włącznie z 5.4.8 poprzez parametr 'feed'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.
W oprogramowaniu CemiPark występuje problem z kontrolą dostępu, który nieprawidłowo weryfikuje dane wprowadzone przez użytkownika, co umożliwia obejście uwierzytelnienia. Atakujący z dostępem do panelu logowania może zalogować się z uprawnieniami administratora.
Wtyczka LearnPress – WordPress LMS Plugin dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'save_post_materials' w wersjach do 4.2.6.5 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie Instruktora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
W podatności CVE-2024-4129 w Snow License Manager na systemie Windows występuje niewłaściwa autoryzacja, która pozwala atakującemu w sieci na ominięcie procesu uwierzytelniania, jeśli włączona jest autoryzacja przez Active Directory. Problem dotyczy wersji Snow License Manager od 9.33.2 do 9.34.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS