Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.30)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wtyczka Bloom od Elegant Themes przed wersją 1.1.1 dla WordPressa ma lukę umożliwiającą eskalację uprawnień. Atakujący może wykorzystać tę podatność do uzyskania wyższych uprawnień w systemie.
W Modicon M580 (wersja oprogramowania przed V2.90) i Modicon M340 (wersja oprogramowania przed V3.10) występuje podatność typu CWE-248: Nieprzechwycona wyjątek, która może prowadzić do potencjalnego odmowy usługi podczas zapisywania do określonych adresów pamięci w kontrolerze przez Modbus.
W programie Microsoft Excel występuje podatność zdalnego wykonania kodu spowodowana nieprawidłową obsługą obiektów w pamięci. Podatność znana jest jako 'Microsoft Excel Remote Code Execution Vulnerability'.
W Windows AppX Deployment Server występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi punktów połączeń (junctions). Aby wykorzystać tę podatność, atakujący musi najpierw uzyskać możliwość wykonania kodu w systemie ofiary.
W sterowniku ws2ifsl.sys (Winsock) występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi obiektów w pamięci. Podatność znana jest jako 'Windows Elevation of Privilege Vulnerability'.
W sterowniku Windows Common Log File System (CLFS) występuje podatność podniesienia uprawnień wynikająca z nieprawidłowej obsługi obiektów w pamięci. Podatność znana jest jako 'Windows Common Log File System Driver Elevation of Privilege Vulnerability'.
Nagios XI w wersjach przed 5.6.6 pozwala na zdalne wykonanie poleceń jako root. Wykorzystanie wymaga dostępu do serwera jako użytkownik nagios lub jako administrator przez interfejs webowy; skrypt getprofile.sh jest uruchamiany jako root przez wpis sudo bez hasła i wykonuje check_plugin, który należy do użytkownika nagios.
Użytkownik lub program bez uprawnień na systemie Microsoft Windows, który może tworzyć pliki konfiguracyjne OpenSSL w określonej lokalizacji, może spowodować uruchomienie kodu zdefiniowanego przez atakującego w programach narzędziowych dostarczanych z serwerem MongoDB. Problem dotyczy wersji MongoDB Server v4.0 przed 4.0.11, v3.6 przed 3.6.14 oraz v3.4 przed 3.4.22.
Citrix StoreFront Server w wersjach przed 1903, 7.15 LTSR przed CU4 (3.12.4000) oraz 7.6 LTSR przed CU8 (3.0.8000) pozwala na ataki XXE (XML External Entity).
Docker Desktop Community Edition w wersjach przed 2.1.0.1 pozwala lokalnym użytkownikom na podniesienie uprawnień poprzez umieszczenie trojańskiego pliku docker-credential-wincred.exe w katalogu %PROGRAMDATA%\DockerDesktop\version-bin\ jako użytkownik o niskich uprawnieniach, a następnie oczekiwanie na uwierzytelnienie, restart Dockera lub uruchomienie 'docker login' przez administratora lub użytkownika usługi.
Podatność w konfiguracji polityk aplikacji w oprogramowaniu Cisco Firepower Threat Defense (FTD) pozwala nieuwierzytelnionemu, zdalnemu atakującemu uzyskać nieautoryzowany dostęp do odczytu wrażliwych danych. Wynika to z niewystarczającej identyfikacji aplikacji. Atakujący może wykorzystać tę podatność, wysyłając spreparowany ruch do urządzenia, co może umożliwić odczyt wrażliwych danych.
W Apache Commons Beanutils 1.9.2 dodano specjalną klasę BeanIntrospector, która pozwala na zablokowanie dostępu do classloadera przez właściwość 'class' dostępną na wszystkich obiektach Java. Jednak nie była ona domyślnie używana przez PropertyUtilsBean.
W bibliotece Azure Active Directory Authentication Library występuje podatność na podniesienie uprawnień w przepływie On-Behalf-Of, związana z tym, jak biblioteka buforuje tokeny. Podatność ta pozwala uwierzytelnionemu atakującemu na wykonywanie działań w kontekście innego użytkownika.
W Dynamics On-Premise v9 występuje podatność na podniesienie uprawnień. Atakujący, który skutecznie wykorzysta tę podatność, może uzyskać kontrolę nad rolą sieciową hostującą instalację Dynamics, wykorzystując uprawnienia dostosowującego.
Występuje podatność na ujawnienie informacji, gdy serwer RDP w systemie Windows niewłaściwie ujawnia zawartość swojej pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może uzyskać informacje umożliwiające dalsze kompromitowanie systemu.
Istnieje podatność na ujawnienie informacji, gdy serwer RDP w systemie Windows niewłaściwie ujawnia zawartość swojej pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może uzyskać informacje, które pozwolą mu na dalsze kompromitowanie systemu.
W protokole zdalnego pulpitu (RDP) występuje podatność na odmowę usługi, która pozwala atakującemu na zablokowanie odpowiedzi usługi RDP na systemie docelowym poprzez wysyłanie specjalnie przygotowanych żądań. Wykorzystanie tej podatności wymaga uruchomienia odpowiedniej aplikacji na serwerze świadczącym usługi RDP.
W Git dla Visual Studio występuje podatność na podniesienie uprawnień, która polega na niewłaściwej analizie plików konfiguracyjnych. Atakujący, który skutecznie wykorzysta tę podatność, może wykonać kod w kontekście innego lokalnego użytkownika.
W usłudze DHCP w systemie Windows Server występuje podatność na uszkodzenie pamięci, która może zostać wykorzystana przez atakującego poprzez wysłanie specjalnie skonstruowanych pakietów do serwera DHCP w trybie failover. W przypadku skutecznego wykorzystania podatności, usługa DHCP może stać się nieodpowiadająca.
W programie Microsoft Word występuje podatność na zdalne wykonanie kodu, gdy nieprawidłowo obsługiwane są obiekty w pamięci. Atakujący, który skutecznie wykorzysta tę podatność, może użyć specjalnie przygotowanego pliku do działania w kontekście zabezpieczeń aktualnego użytkownika.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS