Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Implementacja overlayfs w jądrze Linux nie walidowała poprawnie ustawiania capabilities plików w odniesieniu do przestrzeni nazw użytkowników. W połączeniu z nieuprzywilejowanymi przestrzeniami nazw i łatką w jądrze Ubuntu umożliwiającą nieuprzywilejowane montowanie overlay, atakujący mógł uzyskać podwyższone uprawnienia.
W Appspace 6.2.4 wykryto podatność w mechanizmie uwierzytelniania. Strony takie jak /medianet/mail.aspx mogą być wywoływane bezpośrednio, co ujawnia framework z układami, menu i funkcjonalnościami.
W bibliotece Libsixel w wersji 1.8.6 występuje przepełnienie bufora w funkcji 'sixel_encoder_encode_bytes', co umożliwia atakującym wywołanie odmowy usługi (DoS).
Podatność na eskalację uprawnień w składniku Win32k systemu Windows.
Podatność w telefonie IP INTELBRAS TIP200 w wersji 60.61.75.22 umożliwia atakującemu dostęp do wrażliwych informacji poprzez endpoint /cgi-bin/cgiServer.exx.
Podatność w SonicWall Email Security w wersji 10.0.9.x umożliwia uwierzytelnionemu atakującemu przesłanie dowolnego pliku na zdalny host.
Unibox SMB 2.4, UniBox Enterprise Series 2.4 oraz UniBox Campus Series 2.4 zawierają podatność na fałszerstwo żądania międzywitrynowego (CSRF) w kilku endpointach, takich jak /tools/network-trace, /list_users, /list_byod?usertype=raduser, /dhcp_leases oraz /go?rid=202. Specjalnie spreparowane żądanie HTTP może umożliwić atakującemu ponowne skonfigurowanie urządzenia bez zgody administratora.
Urządzenia UniBox U-50 2.4, Enterprise Series 2.4 oraz Campus Series 2.4 zawierają podatność na wstrzykiwanie poleceń systemu operacyjnego w skrypcie /tools/ping. Luka ta umożliwia atakującemu przejęcie pełnej kontroli nad urządzeniem.
W RetroArch 1.9.0 dla Windows, funkcja accessibility_speak_windows w pliku platform_win32.c przekazuje niesprawdzony tekst do PowerShell, co umożliwia atakującym z dostępem do zapisu na systemach plików używanych przez RetroArch wykonanie kodu poprzez wstrzyknięcie poleceń za pomocą specjalnie spreparowanych nazw plików i katalogów.
W produktach Apple (macOS, iOS, iPadOS, watchOS, tvOS, Safari) występuje podatność typu type confusion wynikająca z nieprawidłowego zarządzania stanem. Przetworzenie specjalnie spreparowanej treści webowej może doprowadzić do wykonania dowolnego kodu.
W produktach Apple (macOS, iOS, iPadOS, watchOS, tvOS) występuje podatność typu race condition wynikająca z nieprawidłowego blokowania. Złośliwa aplikacja może podnieść uprawnienia. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana.
Podatność Server Side Request Forgery (SSRF) w API vRealize Operations Manager przed wersją 8.4 może pozwolić złośliwemu aktorowi z dostępem sieciowym do API vRealize Operations Manager na przeprowadzenie ataku SSRF w celu kradzieży poświadczeń administracyjnych.
Strona /password.html interfejsu zarządzania sieciowego repeatera Acexy Wireless-N WiFi Repeater REV 1.0 (28.08.06.1) zawiera hasło administratora w postaci jawnego tekstu. Strona może być przechwycona przez HTTP.
W repeaterze WiFi Acexy Wireless-N REV 1.0 (28.08.06.1) istnieje podatność umożliwiająca zmianę hasła administratora przez wysłanie specjalnie spreparowanego żądania HTTP GET. Atak nie wymaga uwierzytelnienia, wystarczy znajomość domyślnej nazwy użytkownika (admin).
W produkcie Micro Focus Access Manager występuje podatność polegająca na wycieku informacji poprzez zaawansowaną konfigurację. Dotyczy wszystkich wersji przed 5.0.
MicroLogix 1400 w wersji 21.6 i niższej może pozwolić zdalnemu, nieautoryzowanemu atakującemu na wysłanie specjalnie skonstruowanego pakietu Modbus, co umożliwia atakującemu pobranie lub modyfikację losowych wartości w rejestrze. W przypadku udanego wykorzystania tej podatności może dojść do przepełnienia bufora, co prowadzi do stanu odmowy usługi.
Podatność na eskalację uprawnień w McAfee Data Loss Prevention (DLP) dla systemu Windows przed wersją 11.6.100 pozwala lokalnemu, nisko uprzywilejowanemu atakującemu na załadowanie wybranych przez siebie bibliotek DLL poprzez wykorzystanie junctions. Wymaga to stworzenia i usunięcia junctions przez atakującego oraz wysłania konkretnego polecenia IOTL w odpowiednim czasie.
Fluxbb 1.5.11 jest podatny na atak typu DoS poprzez wysłanie bardzo długiego hasła w formularzu logowania. Proces haszowania takiego hasła prowadzi do wyczerpania zasobów CPU i pamięci serwera.
Serwer NATS w wersjach 2.x przed 2.2.0 oraz biblioteka JWT przed 2.0.1 mają niewłaściwe zarządzanie kontrolą dostępu z powodu błędnego przetwarzania powiązań tokenów importu.
W przeglądarce Google Chrome przed wersją 89.0.4389.90 występuje podatność use-after-free w silniku Blink. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS