Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność CSRF w Subrion CMS v4.2.1 umożliwia nieuwierzytelnionemu atakującemu wysłanie spreparowanego żądania do administratora, co prowadzi do utworzenia dowolnego konta administratora.
Wada projektowa we wszystkich wersjach Go-Ethereum umożliwia atakującemu węzłowi wysłanie 5120 oczekujących transakcji z jednego konta o wysokiej cenie gazu, które całkowicie wyczerpują saldo konta, do ofiary węzła Geth. Powoduje to usunięcie wszystkich oczekujących transakcji z puli pamięci ofiary i zajęcie jej, uniemożliwiając dodanie nowych transakcji, co prowadzi do odmowy usługi (DoS).
W Go-Ethereum 1.10.12 i starszych wersjach wykryto wadę konstrukcyjną, która pozwala atakującemu węzłowi wysłać 5120 przyszłych transakcji z wysoką ceną gazu w jednej wiadomości. Może to wyczyścić wszystkie oczekujące transakcje z puli pamięci ofiary, powodując odmowę usługi (DoS).
Wykryto podatność w funkcji cgroup_release_agent_write jądra Linux w pliku kernel/cgroup/cgroup-v1.c. W określonych okolicznościach, flaw ta pozwala na wykorzystanie funkcji release_agent cgroups v1 do eskalacji uprawnień oraz nieoczekiwanego obejścia izolacji przestrzeni nazw.
Sterownik jądra GPU Arm Mali umożliwia nieuprzywilejowanemu użytkownikowi uzyskanie zapisu do stron pamięci tylko do odczytu. Dotyczy to wersji Midgard r26p0 do r31p0, Bifrost r0p0 do r35p0 oraz Valhall r19p0 do r35p0.
Podatność zdalnego wykonania kodu (RCE) w Zepl Notebooks przed 25 października 2021 roku. Uwierzytelniony użytkownik może utworzyć notatnik ze złośliwym kodem i uruchomić go zdalnie.
Moduł bezpieczeństwa portalu w Liferay Portal 7.2.1 i wcześniejszych oraz Liferay DXP 7.0 przed fix pack 90, 7.1 przed fix pack 17 i 7.2 przed fix pack 5 nieprawidłowo importuje użytkowników z LDAP. Umożliwia to zdalnemu atakującemu zablokowanie uwierzytelniania legalnego użytkownika poprzez próbę zalogowania się jako użytkownik istniejący w LDAP.
W Extensis Portfolio v4.0 odkryto zakodowane na stałe poświadczenia, które umożliwiają atakującym uzyskanie uprawnień administratora.
Podatność nieograniczonego przesyłania plików w komponencie Backup/Restore Archive systemu Extensis Portfolio v4.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany plik ZIP.
W Extensis Portfolio v4.0 odkryto uwierzytelnioną podatność na nieograniczone przesyłanie plików przez komponent AdminFileTransferServlet. Umożliwia ona atakującemu z ważnym kontem przesłanie dowolnego pliku na serwer.
Podatność nieograniczonego przesyłania plików w komponencie FileTransferServlet systemu Extensis Portfolio v4.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
W Extensis Portfolio v4.0 odkryto uwierzytelnioną podatność na nieograniczone przesyłanie plików przez funkcję Catalog Asset Upload. Umożliwia ona atakującemu z ważnym kontem przesłanie dowolnego pliku na serwer.
W wersjach Trusted Firmware M od 1.4.x do 1.4.1 występuje problem z przepełnieniem bufora w partycji aktualizacji oprogramowania. W modelu IPC, wywołanie psa_fwu_write z SPE lub NSPE może nadpisywać lokalizacje pamięci stosu.
W Pluxml w wersji 5.8.7 odkryto podatność umożliwiającą atakującym wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego kodu PHP do statycznych stron.
W oprogramowaniu Algorithmia MSOL (SaaS) przed 10 października 2021 roku istnieje podatność umożliwiająca zdalne wykonanie kodu (RCE). Użytkownik po rejestracji i uwierzytelnieniu może utworzyć specjalnie spreparowany algorytm, który pozwala na wykonanie dowolnego kodu.
W routerze TP-LINK TL-WR840N(ES) w wersji oprogramowania V6.20_180709 wykryto przepełnienie liczby całkowitej w funkcji dm_checkString. Podatność ta umożliwia atakującemu spowodowanie odmowy usługi (DoS) poprzez spreparowane żądanie HTTP.
Urządzenia WatchGuard Firebox i XTM umożliwiają zdalnemu atakującemu z nieuprzywilejowanymi poświadczeniami dostęp do systemu z uprzywilejowaną sesją zarządzania poprzez wystawiony dostęp do zarządzania. Podatność dotyczy Fireware OS przed 12.7.2_U1, 12.x przed 12.1.3_U3 oraz 12.2.x do 12.5.x przed 12.5.7_U3.
Netmaker, platforma do tworzenia i zarządzania wirtualnymi sieciami overlay przy użyciu WireGuard, zawierała w wersjach przed 0.8.5, 0.9.4 i 0.10.0 twardo zakodowany klucz kryptograficzny. Może to zostać wykorzystane do uruchamiania poleceń administracyjnych na zdalnym serwerze, jeśli atakujący zna adres i nazwisko użytkownika administratora.
W jądrze Linuksa odkryto błąd zapisu pamięci poza przydzielonym obszarem (OOB) w NFSD. Brak odpowiednich zabezpieczeń może prowadzić do zapisu poza bmval[bmlen-1] w funkcji nfsd4_decode_bitmap4 w pliku fs/nfsd/nfs4xdr.c.
W jądrze Linux stwierdzono wadę w przetwarzaniu błędów ICMP (fragmentacja ICMP i przekierowanie ICMP), która umożliwia szybkie skanowanie otwartych portów UDP. Pozwala to zdalnemu użytkownikowi spoza ścieżki na ominięcie randomizacji źródłowego portu UDP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS