Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W systemie Ovidentia CMS 6.0 w komponencie FileManager wykryto nieprawidłową kontrolę dostępu, która umożliwia uwierzytelnionym atakującym przeglądanie i pobieranie plików z katalogu upload poprzez manipulację ścieżką (path traversal).
Stwierdzono, że polkit może zostać oszukany w celu ominięcia kontroli poświadczeń dla żądań D-Bus, podnosząc uprawnienia żądającego do użytkownika root. Ta wada może być wykorzystana przez nieuprzywilejowanego lokalnego atakującego, na przykład do utworzenia nowego lokalnego administratora. Największe zagrożenie z tej podatności dotyczy poufności i integralności danych oraz dostępności systemu.
Potencjalna podatność w obsłudze przerwań w trybie zarządzania systemem (SMM) AMD może pozwolić atakującemu z wysokimi uprawnieniami na dostęp do SMM, co skutkuje możliwością wykonania dowolnego kodu. Może to być wykorzystane przez złośliwych aktorów do obejścia mechanizmów zabezpieczeń oferowanych przez firmware UEFI.
Brak autoryzacji w bibliotece Packagist librenms/librenms przed wersją 22.2.0. Może to prowadzić do nieautoryzowanego dostępu do funkcji systemu.
W bibliotece Packagist librenms/librenms przed wersją 22.2.0 występuje błąd związany z nieprawidłową autoryzacją. Może to prowadzić do nieautoryzowanego dostępu do zasobów systemu.
Produkty Emerson Dixell XWEB-500 są podatne na ujawnienie informacji poprzez wyświetlanie listy katalogów. Potencjalny atakujący może wykorzystać tę nieprawidłową konfigurację, aby uzyskać dostęp do wszystkich plików w zdalnych katalogach.
Podatność typu Cross-site Scripting (XSS) występuje w Packagist pimcore/pimcore przed wersją 10.3.1. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript do aplikacji.
Użycie po zwolnieniu w V8 w Google Chrome przed wersją 96.0.4664.110 pozwalało zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
Znaleziono błąd przepełnienia bufora na stercie w sposobie, w jaki funkcja legacy_parse_param w funkcjonalności Filesystem Context jądra Linux weryfikowała długość dostarczonych parametrów. Nieuprzywilejowany (w przypadku włączonych nieuprzywilejowanych przestrzeni nazw użytkownika, w przeciwnym razie wymagany jest uprawnienie CAP_SYS_ADMIN w przestrzeni nazw) lokalny użytkownik, który może otworzyć system plików nieobsługujący API Filesystem Context (a zatem korzystający z legacy handling), może wykorzystać tę wadę do eskalacji swoich uprawnień w systemie.
Istnieje podatność typu CWE-787: Out-of-bounds Write, która może prowadzić do odmowy usługi, gdy atakujący wyśle specjalnie przygotowane żądanie HTTP do serwera WWW urządzenia. Dotknięte produkty to m.in. procesory Modicon M340 oraz moduły komunikacyjne Modicon Quantum.
Występuje podatność CWE-20: Niewłaściwa walidacja danych wejściowych, która może prowadzić do odmowy usługi urządzenia, gdy atakujący wyśle specjalnie skonstruowane żądanie HTTP do serwera WWW urządzenia. Dotknięte produkty to m.in. procesory Modicon M340 oraz moduły komunikacyjne Modicon Quantum.
Istnieje podatność CWE-200: Ujawnienie informacji, która może prowadzić do wycieku wrażliwych informacji z plików znajdujących się w katalogu głównym serwera WWW, gdy atakujący wyśle żądanie HTTP do serwera. Dotknięte produkty to m.in. procesory Modicon M340 oraz moduły komunikacyjne Modicon Quantum.
Plik drivers/usb/gadget/legacy/inode.c w jądrze Linux do wersji 5.16.8 nieprawidłowo obsługuje zwalnianie dev->buf. Może to prowadzić do problemów z bezpieczeństwem pamięci.
Podatność w SAP Adaptive Server Enterprise (ASE) w wersji 16.0 polega na dodaniu wpisu do zmiennej środowiskowej PATH w systemie Windows, co w określonych warunkach umożliwia standardowemu użytkownikowi uruchomienie złośliwych binarnych plików Windows. Problem dotyczy instalatora ASE i nie wpływa na inne binaria ASE.
Podatność typu HTTP smuggling w aplikacji webowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przeprowadzenie ataku DoS (odmowa usługi) poprzez wysłanie specjalnie spreparowanego pakietu HTTP.
Podatność podniesienia uprawnień w usłudze Windows Print Spooler.
Podatność w rozszerzeniach wideo VP9 umożliwia zdalne wykonanie kodu. Atakujący może wykorzystać tę lukę, aby przejąć kontrolę nad systemem ofiary.
Podatność podniesienia uprawnień w usłudze Windows Print Spooler.
Podatność zdalnego wykonania kodu w środowisku Windows Runtime.
Podatność typu DoS w aplikacji webowej routera D-Link DIR-X1860 przed wersją v1.10WWB09_Beta umożliwia zdalnemu, nieuwierzytelnionemu atakującemu zrestartowanie routera poprzez wysłanie specjalnie spreparowanego URL do uwierzytelnionej ofiary. Ofiara musi odwiedzić ten URL, aby doszło do restartu.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS