Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Użycie po zwolnieniu (Use-After-Free) w programie Vim przed wersją 9.0.0579.
Przepełnienie bufora oparte na stosie w programie Vim przed wersją 9.0.0577.
W U-Boot występuje niekontrolowane pole długości, które może prowadzić do nadpisania pamięci. Implementacja DFU w U-Boot nie ogranicza pola długości w pakietach konfiguracyjnych USB DFU, co pozwala atakującemu na przesłanie pakietu z długością większą niż 4096 bajtów.
W sterowniku UEFI DXE w produktach Acer wykryto podatność przepełnienia bufora stosu, która może prowadzić do zdalnego wykonania kodu. Atakujący może wykorzystać tę lukę do eskalacji uprawnień z pierścienia 3 do pierścienia 0 i przejęcia kontroli nad przepływem wykonania podczas działania UEFI DXE.
ICEcoder v8.1 zawiera podatność na atak polegający na przechodzeniu do katalogów (directory traversal). Umożliwia ona atakującemu dostęp do plików poza zamierzonym katalogiem.
Użycie po zwolnieniu (Use-After-Free) w programie Vim przed wersją 9.0.0530.
Podatność typu Path Traversal w module Hypermedia REST APIs w Liferay Portal 7.4.0 do 7.4.2 umożliwia zdalnym atakującym dostęp do plików poza katalogiem com.liferay.headless.discovery.web/META-INF/resources poprzez parametr `parameter`.
System Zarządzania Tożsamością i Katalogiem opracowany przez Çekino Bilgi Teknolojileri przed wersją 2.1.25 ma podatność na nieautoryzowany atak typu Path traversal. Problem został naprawiony w wersji 2.1.25.
Poprzez podszywanie się pod resolver docelowy z odpowiedziami zawierającymi nieprawidłowy podpis EdDSA, atakujący może wywołać niewielki wyciek pamięci. Możliwe jest stopniowe wyczerpanie dostępnej pamięci, aż do awarii usługi named z powodu braku zasobów.
Poprzez podszywanie się pod resolver docelowy z odpowiedziami zawierającymi nieprawidłowy podpis ECDSA, atakujący może wywołać niewielki wyciek pamięci. Możliwe jest stopniowe wyczerpanie dostępnej pamięci, aż do awarii usługi named z powodu braku zasobów.
Podatność została naprawiona poprzez ulepszone sprawdzanie granic. Problem występuje w macOS Monterey 12.6, iOS 15.7 i iPadOS 15.7, iOS 16, macOS Big Sur 11.7. Aplikacja może wykonać dowolny kod z uprawnieniami jądra. Apple wie o raportach, że ta podatność mogła być aktywnie wykorzystywana.
Nieprawidłowa walidacja niektórych komponentów używanych przez mechanizm wycofywania w Trend Micro Apex One i Trend Micro Apex One as a Service może pozwolić administratorowi serwera Apex One na nakłonienie klientów do pobrania niezweryfikowanego pakietu wycofania, co może prowadzić do zdalnego wykonania kodu. Atakujący musi najpierw uzyskać dostęp do konsoli administracyjnej serwera Apex One.
W SmartVista SVFE2 w wersji 2.2.22 wykryto podatność na wstrzykiwanie SQL w parametrach UserForm:j_id88, UserForm:j_id90 i UserForm:j_id92 na stronie /SVFE2/pages/feegroups/country_group.jsf. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W systemie ProcessMaker przed wersją 3.5.4 wykryto niebezpieczne uprawnienia na stronie profilu użytkownika. Luka ta umożliwia atakującym eskalację zwykłych użytkowników do roli administratora.
Podatność typu Directory Traversal w Zentao Demo15 umożliwia zdalne odczytywanie poufnych informacji poprzez manipulację URL. Atakujący może uzyskać dostęp do plików konfiguracyjnych systemu.
SmartVista SVFE2 w wersji 2.2.22 zawiera podatność na wstrzykiwanie SQL przez parametr voiceAudit:j_id97 w ścieżce /SVFE2/pages/audit/voiceaudit.jsf. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
W repozytorium GitHub budibase/budibase przed wersją 1.3.20 występuje niewłaściwe zarządzanie zasobami kodu dynamicznie zarządzanego. Może to prowadzić do nieautoryzowanego dostępu lub wykonania niebezpiecznego kodu.
W oprogramowaniu Syncovery 9 dla systemu Linux w wersji 9.47x i niższych wykryto podatności umożliwiające zdalne wykonanie kodu (RCE) poprzez parametry Job_ExecuteBefore i Job_ExecuteAfter w skrypcie post_profilesettings.php.
Bolt CMS w wersji 5.1.12 i niższych zawiera podatność, która umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami ROLE_EDITOR przesłanie i zmianę nazwy złośliwego pliku, co prowadzi do zdalnego wykonania kodu.
.NET Core i Visual Studio zawierają podatność, która może prowadzić do ataku typu Denial of Service (DoS). Wykorzystanie tej luki może spowodować, że aplikacje przestaną odpowiadać na żądania.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS