Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.23)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
IBM Traveler w wersjach 8.x i 9.x przed 9.0.1.12 umożliwia zdalnym uwierzytelnionym użytkownikom odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie pamięci) poprzez dane XML zawierające deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
Podatność CSRF w Cisco WebEx Meetings Server 2.7 umożliwia zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników.
Portal Citizen Access platformy Accela Civic polega na kliencie do ograniczenia typów plików dla przesyłania, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez zmodyfikowane parametry _EventArgument i filename.
Funkcja restore_tqb_pixels w libbpg w wersjach od 0.9.5 do 0.9.7 niewłaściwie obsługuje wartość flagi transquant_bypass_enable_flag, co pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi (zapisy poza zakresem) za pomocą spreparowanego obrazu BPG, związane z problemem 'type confusion'.
IBM Security Identity Manager (ISIM) Virtual Appliance w wersjach od 7.0.0.0 do 7.0.1.1 przed 7.0.1-ISS-SIM-FP0003 niewłaściwie obsługuje wygasanie sesji, co pozwala zdalnym atakującym na przejęcie sesji poprzez wykorzystanie nieobserwowanej stacji roboczej.
IBM Security Identity Manager (ISIM) Virtual Appliance w wersjach od 7.0.0.0 do 7.0.1.1 przed 7.0.1-ISS-SIM-FP0003 niewłaściwie obsługuje tworzenie haseł, co ułatwia zdalnym atakującym uzyskanie dostępu poprzez wykorzystanie ataku na algorytm haseł.
Podatność typu directory traversal w narzędziu administracyjnym Web w IBM Tivoli Directory Server oraz IBM Security Directory Server umożliwia zdalnym atakującym odczyt dowolnych plików poprzez wykorzystanie sekwencji '..' w URL.
Tollgrade LightHouse SMS przed poprawką 5.1 patch 3 pozwala zdalnym uwierzytelnionym użytkownikom na ominięcie wymogu autoryzacji administracyjnej oraz na odczyt lub zmianę wartości parametrów poprzez bezpośrednie żądanie.
Tollgrade LightHouse SMS w wersjach przed 5.1 patch 3 pozwala zdalnym atakującym na ominięcie uwierzytelnienia oraz ponowne uruchomienie oprogramowania za pomocą nieokreślonych wektorów.
Nieokreślona kontrolka ActiveX w oprogramowaniu Schneider Electric SoMachine do programowania HVAC dla kontrolerów M171/M172 przed wersją 2.1.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieznane wektory, związane z flagą INTERFACESAFE_FOR_UNTRUSTED_CALLER.
CLI w Cisco IOS XR w wersjach 6.x do 6.0.1 pozwala lokalnym użytkownikom na wykonywanie dowolnych poleceń systemowych w kontekście uprzywilejowanym, wykorzystując nieokreślony dostęp do kontenerów.
Cisco WebEx Meetings Server w wersji 2.6 umożliwia zdalnym, uwierzytelnionym użytkownikom przeprowadzanie ataków typu injection komend poprzez odpowiednie typy plików podczas przesyłania, znane jako błąd ID CSCuy92715.
Podatność na wstrzykiwanie SQL w Cisco WebEx Meetings Server 2.6 pozwala zdalnym, uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
Cisco IOS XR w wersjach 5.x do 5.2.5 na urządzeniach NCS 6000 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez odpowiednio skonstruowany ruch SSH, co prowadzi do zużycia timerów i ponownego załadowania procesora trasowania.
Huawei HiSuite w wersjach przed 4.0.4.204_ove (poza Chinami) i przed 4.0.4.301 (Chiny) wykorzystuje słabą kontrolę dostępu (FILE_WRITE_DATA dla BUILTIN\Users) w katalogu usługi HiSuite. To umożliwia lokalnym użytkownikom uzyskanie uprawnień SYSTEM za pomocą złośliwego oprogramowania, takiego jak pliki SspiCli.dll lub USERENV.dll.
Apache Qpid AMQP 0-x JMS client przed wersją 6.0.4 oraz JMS (AMQP 1.0) przed wersją 0.10.0 nie ogranicza użycia klas dostępnych na classpath, co może pozwolić zdalnym uwierzytelnionym użytkownikom na deserializację dowolnych obiektów i wykonanie dowolnego kodu.
W podatności CVE-2016-4066 występuje luka CSRF w Fortinet FortiWeb przed wersją 5.5.3, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów podczas zmiany hasła za pomocą nieokreślonych wektorów.
Kinit w KDE Frameworks przed wersją 5.23.0 używa słabych uprawnień (644) dla pliku /tmp/xauth-xxx-_y, co pozwala lokalnym użytkownikom na uzyskanie ciasteczek X11 innych użytkowników.
Podatność typu use-after-free w Adobe Reader i Acrobat przed wersją 11.0.17 oraz w Acrobat i Acrobat Reader DC Classic przed wersją 15.006.30198, a także w Acrobat i Acrobat Reader DC Continuous przed wersją 15.017.20050 na systemach Windows i OS X, umożliwia atakującym wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
W Adobe Flash Player przed wersją 18.0.0.366 oraz 19.x do 22.x przed wersją 22.0.0.209 na systemach Windows i OS X oraz przed wersją 11.2.202.632 na systemie Linux występuje przepełnienie bufora w stercie, które pozwala atakującym na wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.