Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W rConfig 3.9.6 wykryto niebezpieczne uprawnienia dla polecenia chmod. Po instalacji użytkownik apache może wykonać chmod jako root bez hasła, co pozwala atakującemu z niskimi uprawnieniami na uzyskanie dostępu root do serwera.
Podatność SQL Injection w rConfig 3.9.6 umożliwia uwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu SQL. Jeśli serwer MySQL nie ma ustawionej opcji --secure-file-priv i znajduje się na tym samym hoście co rConfig, atakujący może przesłać webshella i uzyskać zdalny dostęp.
Podatność use-after-free w silniku V8 w Google Chrome przed wersją 94.0.4606.71. Zdalny atakujący mógł potencjalnie wykorzystać uszkodzenie sterty (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
Podatność zapisu poza granicami bufora (out-of-bounds write) w silniku V8 w Google Chrome przed wersją 93.0.4577.82. Zdalny atakujący mógł potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
Brak sprawdzania granic bufora w funkcji set_skb_priv() sterownika interfejsu modemu przed wydaniem SMR Oct-2021 Release 1. Prowadzi to do odczytu poza granicami bufora (OOB read) i w konsekwencji do wykonania dowolnego kodu poprzez dereferencję nieprawidłowego wskaźnika funkcji.
Podatność w Afian FileRun 2021.03.26 umożliwia zdalne wykonanie kodu przez administratorów poprzez manipulację wartością ścieżki do pliku binarnego magick.
Podatność w Afian FileRun 2021.03.26 umożliwia zdalne wykonanie kodu przez administratorów poprzez manipulację wartością ścieżki do pliku binarnego ffmpeg.
W jądrze Linux przed wersją 5.14.12, funkcja prealloc_elems_and_freelist w kernel/bpf/stackmap.c pozwala nieuprzywilejowanym użytkownikom na wywołanie przepełnienia liczb całkowitych w eBPF, co prowadzi do zapisu poza zakresem.
Podatność w trybie SMM dotyczy procedury obsługi SWSMI, która nie sprawdza wystarczająco wskaźnika bufora (wartości QWORD dla CommBuffer). Może to pozwolić atakującemu na uszkodzenie danych w pamięci SMRAM i prowadzić do wykonania dowolnego kodu.
Wersje curl od 7.20.0 do 7.78.0 mają lukę, która pozwala na ominięcie wymogu użycia TLS podczas komunikacji z serwerami IMAP, POP3 lub FTP. Jeśli serwer zwróci odpowiednio skonstruowaną, ale poprawną odpowiedź, curl może kontynuować operacje bez szyfrowania, mimo że użytkownik tego nie oczekiwał.
Podatność w sshd w OpenSSH 6.2 do 8.x przed wersją 8.8, przy użyciu niestandardowych konfiguracji, umożliwia eskalację uprawnień. Pomocnicze programy dla AuthorizedKeysCommand i AuthorizedPrincipalsCommand mogą działać z uprawnieniami grupowymi procesu sshd, jeśli konfiguracja określa uruchomienie jako inny użytkownik.
Występuje problem ujawnienia informacji w D-LINK-DIR-605 B2 w wersji firmware 2.01MT. Atakujący może uzyskać nazwę użytkownika i hasło poprzez sfałszowanie żądania POST do strony /getcfg.php.
Biblioteka ncurses do wersji v6.2-1 zawiera podatność na przepełnienie bufora sterty w funkcji _nc_captoinfo w pliku captoinfo.c.
W Redis 5.0.7 wykryto błąd segmentacji w komponencie redis-server, który może prowadzić do odmowy usługi (DOS). Producent nie potwierdził możliwości reprodukcji tego problemu w wydanej wersji 5.0.7.
Wszystkie wersje Apache Santuario - XML Security for Java przed 2.2.3 i 2.1.7 są podatne na problem, gdzie właściwość "secureValidation" nie jest poprawnie przekazywana podczas tworzenia KeyInfo z elementu KeyInfoReference. Pozwala to atakującemu nadużyć transformacji XPath do wyodrębnienia dowolnych lokalnych plików .xml w elemencie RetrievalMethod.
Libsixel w wersji 1.8.3 zawiera przepełnienie bufora na stercie w funkcji sixel_encode_highcolor w pliku tosixel.c. Ta podatność może prowadzić do nieautoryzowanego dostępu do pamięci.
Libsixel w wersji 1.8.2 zawiera przepełnienie bufora na stercie w funkcji dither_func_fs w pliku tosixel.c. Ta podatność może prowadzić do nieautoryzowanego dostępu do pamięci.
Delta Electronic DOPSoft 2 (wersja 2.00.07 i wcześniejsze) nieprawidłowo waliduje dane dostarczone przez użytkownika podczas parsowania określonych plików projektu. Może to skutkować wielokrotnymi zapisami poza granicami bufora. Atakujący może wykorzystać tę podatność do wykonania kodu w kontekście bieżącego procesu.
W podatności CVE-2021-31843 w McAfee Endpoint Security (ENS) dla systemu Windows przed aktualizacją z września 2021 roku występuje niewłaściwe zarządzanie uprawnieniami. Umożliwia to lokalnym użytkownikom dostęp do plików, do których normalnie nie powinni mieć dostępu, poprzez manipulację linkami junction w celu przekierowania operacji folderów McAfee do niezamierzonej lokalizacji.
W Jfinal CMS 5.1.0 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym odczyt wrażliwych informacji poprzez bezpośrednie żądanie do pliku /classes/conf/db.properties&config=filemanager.config.js.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS