Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.18)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Funkcjonalność podsłuchiwania IPv6 w subsystemie bezpieczeństwa pierwszego skoku w Cisco IOS nieprawidłowo implementuje funkcję ochrony płaszczyzny kontrolnej, co umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez zalewanie urządzenia pakietami ND.
Wielokrotne podatności na wstrzykiwanie SQL w Web Reference Database (refbase) w wersji 0.9.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry 'where' w rss.php lub 'sqlQuery' w search.php.
Plik install.php w Web Reference Database (refbase) w wersji 0.9.6 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez parametr adminPassword, co stanowi poważne zagrożenie dla bezpieczeństwa.
Kontrolery EasyIO EasyIO-30P-SF z firmware przed wersją 0.5.21 oraz 2.x przed 2.0.5.21 mają wbudowane hasło, co ułatwia zdalnym atakującym uzyskanie dostępu przez nieokreślone wektory.
Cisco AnyConnect Secure Mobility Client w wersji 4.1(8) na systemach OS X i Linux nie weryfikuje ścieżek przed wykonaniem działań instalacyjnych, co pozwala lokalnym użytkownikom uzyskać uprawnienia roota za pomocą spreparowanego pliku instalacyjnego.
W podatności CVE-2015-6305 w funkcji CMainThread::launchDownloader w vpndownloader.exe w Cisco AnyConnect Secure Mobility Client na systemie Windows, lokalni użytkownicy mogą uzyskać uprawnienia poprzez złośliwą bibliotekę DLL w bieżącym katalogu roboczym.
Wersje Cisco IOS XE 2.x i 3.x przed 3.10.6S, 3.11.xS do 3.13.xS przed 3.13.3S oraz 3.14.xS do 3.15.xS przed 3.15.1S są podatne na atak, który może prowadzić do odmowy usługi poprzez ponowne uruchomienie urządzenia. Atakujący mogą wykorzystać pakiety IPv4 wymagające działań NAT i MPLS.
InduSoft Web Studio firmy Schneider Electric w wersjach przed 8.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowany plik projektu Indusoft.
Komponent Remote Agent w Schneider Electric InduSoft Web Studio przed wersją 8.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
Funkcja ReadbackResultWriterD3D11::Run w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 błędnie interpretuje wartość zwracaną przez wywołanie funkcji. Może to umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki.
Funkcja reserveVertexSpace w libGLES w ANGLE, używana w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 na systemie Windows, niewłaściwie alokuje pamięć dla tablic atrybutów shaderów. To pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowane treści OpenGL lub WebGL.
Funkcja ProgramBinary::linkAttributes w libGLES w ANGLE, używana w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed 38.3 na systemie Windows, niewłaściwie obsługuje dostęp do shaderów. To pozwala zdalnym atakującym na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez spreparowane treści OpenGL lub WebGL.
Funkcja InitTextures w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może pozwolić zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki za pomocą nieznanych wektorów.
Funkcja AnimationThread w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 używa niepoprawnego argumentu w funkcji sscanf, co może prowadzić do awarii aplikacji lub zdalnego ataku.
Funkcja XULContentSinkImpl::AddText w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki poprzez nieznane wektory, związane z 'przepełnieniem'.
Funkcja nsAttrAndChildArray::GrowBy w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki poprzez nieznane wektory, związane z 'przepełnieniem'.
Funkcja nsUnicodeToUTF8::GetMaxLength w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki poprzez nieznane wektory, związane z 'przepełnieniem'.
Funkcja ConvertDialogOptions w Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może umożliwić zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalnie inne nieokreślone skutki za pomocą nieznanych wektorów.
W pliku NetworkUtils.cpp w przeglądarce Mozilla Firefox przed wersją 41.0 oraz Firefox ESR 38.x przed wersją 38.3 może wystąpić podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez uszkodzenie pamięci i awarię aplikacji.
Mozilla Firefox przed wersją 41.0 pozwala zdalnym atakującym na obejście niektórych mechanizmów ochrony API ECMAScript 5, co umożliwia modyfikację niemutowalnych właściwości oraz wykonanie dowolnego kodu JavaScript z uprawnieniami chrome poprzez specjalnie przygotowaną stronę internetową.