Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność deserializacji w Afterlogic Aurora Files v9.7.3 umożliwia atakującym wykonanie dowolnego kodu poprzez dostarczenie spreparowanego pliku .sabredav.
W bibliotece GNU C Library odkryto przepełnienie bufora w dynamicznym loaderze ld.so podczas przetwarzania zmiennej środowiskowej GLIBC_TUNABLES. Problem ten może umożliwić lokalnemu atakującemu wykorzystanie złośliwie skonstruowanych zmiennych środowiskowych GLIBC_TUNABLES przy uruchamianiu binariów z uprawnieniami SUID do wykonania kodu z podwyższonymi uprawnieniami.
Przepełnienie bufora sterty w kodowaniu vp8 w bibliotece libvpx w Google Chrome przed wersją 117.0.5938.132 oraz w libvpx 1.13.1. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez spreparowaną stronę HTML.
Wtyczka AjaxNewsTicker w wersji 1.0.5 zawiera podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany parametr 'reque'. Problem wynika z braku odpowiedniej walidacji danych wejściowych.
W podatności CVE-2023-43314 występuje przepełnienie bufora w oprogramowaniu układowym Zyxel PMG2005-T20B w wersji V1.00(ABNK.2)b11_C0. Może to pozwolić nieautoryzowanemu atakującemu na spowodowanie stanu odmowy usługi poprzez odpowiednio skonstruowany identyfikator uid.
Podatność CSRF w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze txt w komponencie index.php.
W podatności CVE-2023-4934 występuje możliwość obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w systemie Usta AYBS, co prowadzi do nadużyć związanych z uwierzytelnianiem oraz możliwości ominięcia procesu uwierzytelniania.
Dreamer CMS w wersji 4.1.3 zawiera podatność na odczyt dowolnych plików w komponencie /admin/TemplateController.java. Atakujący może wykorzystać tę lukę do odczytu wrażliwych danych z serwera.
Podatność CSRF w pliku admin_manager.php systemu Seacms do wersji 12.8 umożliwia atakującym dodanie dowolnego konta administratora bez autoryzacji.
W podsystemie netfilter jądra Linux znaleziono podatność na indeksowanie tablicy. Brak makra może prowadzić do błędnego obliczenia przesunięcia tablicy `h->nets`, co daje atakującym możliwość dowolnego zwiększania/zmniejszania bufora poza granicami. Problem ten może pozwolić lokalnemu użytkownikowi na zawieszenie systemu lub potencjalną eskalację uprawnień.
Podatność w systemie macOS Sonoma 14 została naprawiona poprzez ulepszone mechanizmy sprawdzania. Przetwarzanie treści internetowych może prowadzić do wykonania dowolnego kodu. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 16.7.
Podatność w systemach macOS Monterey 12.7, iOS 16.7, iPadOS 16.7 i macOS Ventura 13.6 została naprawiona poprzez ulepszone mechanizmy sprawdzania. Lokalny atakujący może podnieść swoje uprawnienia. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 16.7.
W module MyPrestaModules dla Prestashop w wersji 6.2.9 oraz module UpdateProducts w wersji 3.6.9 odkryto podatność na ujawnienie informacji PHPInfo poprzez plik send.php.
Podatność CVE-2023-5042 dotyczy ujawnienia wrażliwych informacji z powodu niebezpiecznych uprawnień do folderów. Dotyczy to produktów Acronis Cyber Protect Home Office (Windows) przed wersją 40713 oraz Acronis True Image OEM (Windows) przed wersją 42575.
Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.
Podatność polegająca na niebezpiecznym przesyłaniu plików w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych. Umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie dostępu do wrażliwych informacji poprzez obejście filtrowania rozszerzeń i funkcji zmiany nazw plików.
Podatność w Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu, uprzywilejowanemu atakującemu wykonanie dowolnego kodu poprzez spreparowane polecenie lub skrypt.
Podatność SQL injection w Nagios XI 5.11.1 i wcześniejszych umożliwia uwierzytelnionym atakującym z uprawnieniami do zarządzania eskalacjami hostów w Menedżerze Konfiguracji Podstawowej wykonanie dowolnych poleceń SQL poprzez ustawienia powiadomień eskalacji hostów.
Podatność SQL Injection w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z uprawnieniami do konfiguracji banera ogłoszeń wykonanie dowolnych poleceń SQL poprzez parametr ID przesyłany do funkcji update_banner_message().
Podatność w module odinstalowywania firmowego oprogramowania antywirusowego w Trend Micro Apex One (on-prem i SaaS), Worry-Free Business Security oraz Worry-Free Business Security Services. Atakujący może manipulować modułem, aby wykonać dowolne polecenia w zainfekowanej instalacji. Wymagane jest wcześniejsze uzyskanie dostępu do konsoli administracyjnej.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS