Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.10.02)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W FRRouting FRR w wersji 9.0 odkryto problem, w którym bgpd/bgp_packet.c przetwarza NLRIs, gdy długość atrybutu wynosi zero.
W wersji 1.0.18 Pagekit występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą funkcji downloadAction i updateAction w pliku UpdateController.php.
Podatność typu przepełnienie bufora w O-RAN Software Community ric-plt-lib-rmr w wersji 4.9.0 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez manipulację rozmiarem pakietu.
Podatność typu przepełnienie bufora w O-RAN Software Community ric-plt-lib-rmr w wersji 4.9.0 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi poprzez odpowiednio skonstruowany pakiet.
Podatność typu przepełnienia bufora w VirusTotal yara w wersji 4.3.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu za pomocą funkcji yr_execute_cod w komponencie exe.c.
Wersje pf4j do 3.9.0 zawierają lukę, która umożliwia zdalnemu atakującemu uzyskanie poufnych informacji oraz wykonanie dowolnego kodu poprzez metodę expandIfZip w funkcji extract.
Wersje pf4j do 3.9.0 zawierają lukę, która umożliwia zdalnemu atakującemu uzyskanie poufnych informacji oraz wykonanie dowolnego kodu poprzez parametr loadpluginPath.
Wersje pf4j do 3.9.0 mają lukę, która pozwala zdalnemu atakującemu na uzyskanie poufnych informacji oraz wykonanie dowolnego kodu poprzez parametr zippluginPath.
Wersja 3.1.2 Perfree PerfreeBlog zawiera lukę, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany plugin znajdujący się na liście admin/plugin/access/list.
W wersji 2.8.90 ansible semaphore występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze dodatkowych zmiennych.
Wersje Zoho ManageEngine Active Directory 360 oraz innych produktów są podatne na obejście dwuskładnikowego uwierzytelniania (2FA) przy użyciu niektórych autoryzatorów TOTP. Wymagane jest posiadanie ważnej pary nazwy użytkownika i hasła, aby wykorzystać tę podatność.
W Busybox w wersji 1.33.2 wykryto podatność w poleceniu CPIO, która umożliwia atakującym wykonanie trawersacji katalogów. Problem wynika z nieprawidłowego przetwarzania ścieżek plików podczas rozpakowywania archiwów CPIO.
CVE-2023-40590 dotyczy biblioteki GitPython, która może uruchomić złośliwy program `git` z lokalnego repozytorium, jeśli użytkownik uruchomi GitPython z tego katalogu. Problem ten występuje głównie na systemach Windows, gdzie Python nieprawidłowo rozwiązuje ścieżki do wykonywalnych plików.
W skrypcie PHPJabbers Car Rental w wersji 3.0 brak weryfikacji przy zmianie adresu e-mail i/lub hasła na stronie profilu umożliwia zdalnym atakującym przejęcie kont.
W procesorach mobilnych i noszalnych Samsung Exynos 9810, 9610, 9820, 980, 850, 1080, 2100, 2200, 1280, 1380, 1330, 9110 oraz W920 odkryto problem związany z niewłaściwym przetwarzaniem niezgodności parametru długości PPP, co może prowadzić do nieskończonej pętli.
Sliver w wersjach od 1.5.x do 1.5.39 ma niewłaściwą implementację kryptograficzną, co umożliwia atakującym przeprowadzenie ataku typu man-in-the-middle poprzez przechwycone i spreparowane odpowiedzi.
W podatności CVE-2023-40195 występuje deserializacja niezaufanych danych w Apache Airflow Spark Provider, co pozwala autoryzowanym użytkownikom na uruchamianie dowolnego kodu na węźle Airflow poprzez wskazanie złośliwego serwera Spark.
Urządzenia do rejestracji obecności Saho, ADM100 i ADM-100FP, mają lukę polegającą na braku uwierzytelnienia dla krytycznych funkcji. Nieautoryzowany zdalny atakujący może wykonywać polecenia systemowe w częściowych adresach URL strony, aby odczytać wrażliwe informacje o urządzeniu bez odpowiednich uprawnień.
IBM Security Guardium 11.4 jest podatny na atak typu SQL injection. Zdalny atakujący może wysłać specjalnie przygotowane zapytania SQL, co może umożliwić mu przeglądanie, dodawanie, modyfikowanie lub usuwanie informacji w bazie danych.
Podatność w Microsoft Edge (oparty na Chromium) umożliwia eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do systemu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS