Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.23)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
W urządzeniu Moxa EDR-810 Industrial Secure Router odkryto problem, który pozwala złośliwemu użytkownikowi uzyskać dostęp do plików konfiguracyjnych i logów poprzez dostęp do określonego adresu URL na serwerze WWW.
W oprogramowaniu układowym Siemens ETA4 (wszystkie wersje przed rewizją 08) modułu rozszerzeń SM-2558 zidentyfikowano problem. Specjalnie skonstruowane pakiety wysyłane do portu 2404/TCP mogą spowodować przejście urządzenia w tryb defektu.
W urządzeniach pomiarowych energii elektrycznej serii IONXXXX firmy Schneider Electric zidentyfikowano problem związany z brakiem generowania tokena CSRF do uwierzytelniania użytkownika podczas sesji. W wyniku skutecznego wykorzystania tej podatności możliwe jest wprowadzenie i zapisanie nieautoryzowanych zmian w konfiguracji.
W oprogramowaniu Delta Electronics WPLSoft, ISPSoft i PMSoft zidentyfikowano wiele przypadków przepełnienia bufora w stercie, które mogą prowadzić do wykonania dowolnego kodu lub odmowy usługi.
W oprogramowaniu CA Unified Infrastructure Management w wersji 8.47 i wcześniejszych odkryto problem związany z nieprawidłowym przetwarzaniem zewnętrznych danych wejściowych do konstrukcji ścieżki. Oprogramowanie nie neutralizuje poprawnie sekwencji takich jak '..', co może prowadzić do uzyskania dostępu do lokalizacji poza ograniczonym katalogiem.
W oprogramowaniu Delta Electronics WPLSoft, ISPSoft i PMSoft zidentyfikowano problem związany z wieloma przypadkami zapisu poza przydzielonym obszarem pamięci. Może to umożliwić odczyt i wykonanie złośliwych plików przez podatne oprogramowanie.
W OmniMetrix OmniView w wersji 1.2 odkryto problem związany z niewystarczającymi wymaganiami dotyczącymi haseł. Może to umożliwić atakującemu uzyskanie dostępu do aplikacji webowej poprzez atak brute force na hasła kont.
W oprogramowaniu Fatek Automation PM Designer V3 w wersji 2.1.2.2 oraz Automation FV Designer w wersji 1.2.8.0 odkryto problem, który pozwala atakującemu na wywołanie przepełnienia bufora na stosie poprzez wysłanie dodatkowych, prawidłowych pakietów. Może to prowadzić do awarii systemu oraz umożliwia zdalne przepełnienie bufora na serwerze komunikacyjnym Fatek.
W oprogramowaniu Fatek Automation PM Designer V3 w wersji 2.1.2.2 oraz Automation FV Designer w wersji 1.2.8.0 odkryto problem, który pozwala atakującemu na wysłanie dodatkowych poprawnych pakietów. Może to prowadzić do awarii systemu lub wykonania dowolnego kodu z powodu niewłaściwego ograniczenia operacji w obrębie bufora pamięci.
W aplikacji internetowej OmniView w wersji 1.2 odkryto problem związany z przesyłaniem poświadczeń za pomocą protokołu HTTP. To może umożliwić atakującemu przechwycenie tych poświadczeń, co prowadzi do kompromitacji konta.
W Locus Energy LGate przed wersją 1.05H występuje problem związany z niewłaściwą walidacją danych w skrypcie PHP, który zarządza parametrami liczników energii. Dotyczy to modeli LGate 50, LGate 100, LGate 101, LGate 120 oraz LGate 320.
W aplikacji Sauter NovaWeb HMI odkryto problem związany z mechanizmem ochrony, który opiera się na istnieniu lub wartościach ciasteczka. Mechanizm ten nie zapewnia jednak prawidłowej weryfikacji, czy ciasteczko jest ważne dla powiązanego użytkownika.
Bubblewrap w wersjach przed 0.1.3 ustawia flagę PR_SET_DUMPABLE, co może umożliwić lokalnym użytkownikom uzyskanie uprawnień poprzez dołączenie do procesu, co zostało zademonstrowane przez wysyłanie poleceń do gniazda PrivSep.
Funkcja rsa_verify_hash_ex w bibliotece LibTomCrypt, używana w OP-TEE przed wersją 2.2.0, nie weryfikuje, czy długość wiadomości jest równa długości danych zakodowanych w ASN.1. To umożliwia zdalnym atakującym fałszowanie podpisów RSA lub certyfikatów publicznych za pomocą ataku na fałszowanie podpisów Bleichenbachera.
Urządzenia Samsung z systemem Android KK (4.4), L (5.0/5.1) lub M (6.0) umożliwiają atakującym spowodowanie odmowy usługi (awaria systemu) poprzez spreparowane wywołanie systemowe do TvoutService_C.
Wersje Crypto++ (cryptopp) przed 5.6.4 mają problem z ochroną przed atakami czasowymi w funkcjach Rijndael::Enc::ProcessAndXorBlock oraz Rijndael::Dec::ProcessAndXorBlock. Optymalizacja przez kompilator może prowadzić do możliwości przeprowadzenia ataków czasowych przez napastników.
Narzędzie cjpeg w bibliotece libjpeg pozwala zdalnym atakującym na spowodowanie odmowy usługi (dereferencja wskaźnika NULL i awaria aplikacji) lub wykonanie dowolnego kodu za pomocą spreparowanego pliku.
W wersji 3.20161219 oprogramowania ikiwiki występuje problem z niewłaściwym sprawdzaniem zmian w uprawnieniach dostępu do stron, gdy włączone są wtyczki git i recentchanges oraz interfejs CGI. To umożliwia zdalnym atakującym przywracanie niektórych zmian poprzez wykorzystanie uprawnień do modyfikacji strony przed dokonaniem rewizji.
W podatności CVE-2016-8495 występuje nieprawidłowa walidacja certyfikatów w Fortinet FortiManager w wersjach od 5.0.6 do 5.2.7 oraz od 5.4.0 do 5.4.1. Umożliwia to zdalnemu atakującemu podszywanie się pod zaufany podmiot za pomocą ataku typu man-in-the-middle (MITM) poprzez funkcję sondowania urządzeń Fortisandbox.
W bibliotece libmysqlclient.so występuje błąd, który prowadzi do awarii w Oracle MySQL przed wersją 5.6.21 oraz 5.7.x przed wersją 5.7.5, a także w MariaDB do wersji 5.5.54, 10.0.x do 10.0.29, 10.1.x do 10.1.21 oraz 10.2.x do 10.2.3.