Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku /usr/local/nagiosxi/html/includes/configwizards/cloud-vm/cloud-vm.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku switch.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku windowswmi.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
Adminer, narzędzie do zarządzania bazami danych w jednym pliku PHP, w wersjach od 4.0.0 do 4.7.9 zawiera podatność typu server-side request forgery (SSRF). Dotyczy to wersji zawierających wszystkie sterowniki (np. adminer.php). Podatność została naprawiona w wersji 4.7.9.
Adobe Acrobat Reader DC w wersjach 2020.013.20074 i wcześniejszych, 2020.001.30018 i wcześniejszych oraz 2017.011.30188 i wcześniejszych zawiera podatność przepełnienia bufora na stercie. Nieuwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga interakcji użytkownika, który musi otworzyć złośliwy plik.
Aplikacja mobilna Oclean w wersji 2.1.2 komunikuje się z zewnętrzną witryną za pomocą protokołu HTTP, co umożliwia podsłuchiwanie ruchu sieciowego. Zawartość ładunku HTTP jest szyfrowana za pomocą XOR z zakodowanym na stałe kluczem, co pozwala na odszyfrowanie ruchu.
McAfee Total Protection (MTP) w wersjach przed 16.0.30 zawiera podatność umożliwiającą wykonanie dowolnego procesu. Lokalny użytkownik może uzyskać podwyższone uprawnienia i wykonać dowolny kod, omijając mechanizmy samoobrony MTP.
Google Chrome w wersjach przed 88.0.4324.150 zawiera podatność przepełnienia bufora na stercie w silniku V8. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
Podatność została zgłoszona w starszych wersjach QTS. Jeśli zostanie wykorzystana, ta nieprawidłowa kontrola dostępu może pozwolić atakującym na naruszenie bezpieczeństwa oprogramowania poprzez uzyskanie uprawnień lub odczyt poufnych informacji. Problem dotyczy QNAP Systems Inc. Helpdesk w wersjach przed 3.0.3.
W jądrze Linuxa do wersji 5.10.11 odkryto problem związany z używaniem zwolnionego stosu jądra podczas obsługi błędów w PI futexach. Umożliwia to lokalnym użytkownikom wykonanie kodu w jądrze.
W protokole OpenWire w Apache ActiveMQ Artemis 2.15.0 wystąpiła luka, która pozwalała na obejście kontroli dostępu opartej na politykach podczas tworzenia komunikatów doradczych dla całej sesji. Produkcja tych komunikatów nie była objęta kontrolą dostępu, co stanowi błąd.
Moduł logowania LDAP w ActiveMQ może być skonfigurowany do używania anonimowego dostępu do serwera LDAP. W przypadku Apache ActiveMQ Artemis przed wersją 2.16.0 oraz Apache ActiveMQ przed wersjami 5.16.1 i 5.15.14, kontekst anonimowy jest używany do weryfikacji hasła użytkownika, co skutkuje brakiem sprawdzenia hasła.
Sudo w wersjach przed 1.9.5p2 zawiera błąd off-by-one, który może prowadzić do przepełnienia bufora na stercie. Umożliwia to eskalację uprawnień do roota poprzez "sudoedit -s" i argument wiersza poleceń kończący się pojedynczym znakiem backslash.
Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.
Błąd w jackson-databind przed wersją 2.9.10.7 powoduje nieprawidłowe zarządzanie interakcją między gadżetami serializacji a typowaniem. Największe zagrożenie dotyczy poufności i integralności danych oraz dostępności systemu.
Tar.php w Archive_Tar do wersji 1.4.11 pozwala na operacje zapisu z wykorzystaniem Directory Traversal z powodu nieodpowiedniego sprawdzania dowiązań symbolicznych. Jest to problem powiązany z CVE-2020-28948.
Google Chrome w wersjach przed 81.0.4044.92 zawiera podatność use-after-free w komponencie Media. Zdalny atakujący może wykonać dowolny kod poprzez specjalnie spreparowaną stronę HTML.
Adobe Campaign Classic Gold Standard 10 (i wcześniejsze), 20.3.1 (i wcześniejsze), 20.2.3 (i wcześniejsze), 20.1.3 (i wcześniejsze), 19.2.3 (i wcześniejsze) oraz 19.1.7 (i wcześniejsze) są podatne na podatność typu Server-Side Request Forgery (SSRF). Udane wykorzystanie może pozwolić atakującemu na użycie instancji Campaign do wysyłania nieautoryzowanych żądań do zasobów wewnętrznych lub zewnętrznych.
Podatność w silniku detekcji Snort w wielu produktach Cisco umożliwia nieuwierzytelnionemu zdalnemu atakującemu ominięcie skonfigurowanej polityki plików dla HTTP. Problem wynika z nieprawidłowej obsługi nagłówka zakresu HTTP. Atakujący może wysyłać spreparowane pakiety HTTP przez urządzenie, co pozwala na ominięcie polityki plików i dostarczenie złośliwego ładunku.
Microsoft Defender zawiera podatność umożliwiającą zdalne wykonanie kodu. Szczegóły podatności nie zostały podane w opisie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS